तपाईं दुरुपयोगपूर्ण query हरू विरुद्ध GraphQL API लाई कसरी सुरक्षित गर्नुहुन्छ?

Question

IT Interview Practice · Accepted Answer

GraphQL लाई शक्तिशाली बनाउने लचकताले यसलाई **DoS surface** पनि बनाउँछ: client ले query लाई गहिरो गरी nest गर्न वा एउटै call मा विशाल list माग्न सक्छ। तपाईं तहहरूमा प्रतिरक्षा गर्नुहुन्छ — **depth limits, complexity/cost analysis, rate limiting, र उचित auth** — जसमध्ये कुनै पनि query language ले तपाईंका लागि लागू गर्दैन।

## खतरा: unbounded queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## प्रतिरक्षाहरू

- **Depth limiting** — मानौँ, 7 तह भन्दा बढी nest भएका query हरू अस्वीकार गर्नुहोस्। सस्तो पहिलो प्रतिरक्षा रेखा।
- **Cost/complexity analysis** — हरेक field लाई एउटा cost दिनुहोस्, list fields लाई तिनका `first` argument अनुसार weight दिनुहोस्, र योग budget भन्दा बढी भयो भने execution अघि नै अस्वीकार गर्नुहोस्। यो raw depth भन्दा बलियो छ किनभने यसले list breadth लाई हिसाबमा लिन्छ।
- **Rate limiting** — per-client budget, आदर्श रूपमा **query cost** मा (केवल request count मा होइन), ताकि एउटा महँगो query धेरैको रूपमा गनियोस्।
- **Persisted/allow-listed queries** — production मा, पूर्व-दर्ता गरिएको query set मात्र स्वीकार गर्नुहोस्; मनपरी ad-hoc query हरू अस्वीकृत हुन्छन्, जसले धेरैजसो injection/DoS vector हटाउँछ।

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

एक पटक authenticate गर्नुहोस् (`context` मा token validate गर्नुहोस्), त्यसपछि **प्रति field/resolver authorize गर्नुहोस्** — fields हटाउन client लाई कहिल्यै भरोसा नगर्नुहोस्। जाँचहरू resolvers मा वा GraphQL Shield जस्तो layer मा गर्नुहोस्, र production मा **introspection schema कहिल्यै expose नगर्नुहोस्** वा verbose stack trace नदेखाउनुहोस्।

## यो किन महत्त्वपूर्ण छ

REST endpoint हरू स्वाभाविक रूपमा सीमित हुन्छन्; एउटा GraphQL query हुँदैन। Senior interviewer हरू **cost-आधारित** सोच चाहन्छन् — depth आवश्यक छ तर अपर्याप्त छ, complexity analysis सँगै persisted queries नै साँचो जवाफ हो — र per-resolver authorization को अनुशासन।

खतरा: unbounded queries

प्रतिरक्षाहरू

Auth

यो किन महत्त्वपूर्ण छ

सम्बन्धित प्रश्नहरू