Hoe beveilig je een GraphQL-API tegen misbruikende queries?

Question

IT Interview Practice · Accepted Answer

De flexibiliteit die GraphQL krachtig maakt, maakt het ook een **DoS-oppervlak**: een client kan een query diep nesten of enorme lijsten in één call opvragen. Je verdedigt in lagen — **depth limits, complexity-/cost-analyse, rate limiting en degelijke auth** — en niets daarvan wordt door de query language voor je afgedwongen.

## De dreiging: onbegrensde queries

```graphql
# Een kwaadaardige cyclische query: elk niveau vermenigvuldigt het werk exponentieel
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Verdedigingen

- **Depth limiting** — weiger queries die dieper genest zijn dan bijvoorbeeld 7 niveaus. Goedkope eerste verdedigingslinie.
- **Cost-/complexity-analyse** — ken elk veld een kostprijs toe, weeg list-velden op hun `first`-argument, en weiger vóór uitvoering als het totaal een budget overschrijdt. Sterker dan pure depth omdat het rekening houdt met de breedte van lijsten.
- **Rate limiting** — budgetten per client, idealiter op **query-kosten** (niet alleen op aantal requests), zodat één dure query als meerdere telt.
- **Persisted/allow-listed queries** — accepteer in productie alleen een vooraf geregistreerde set queries; willekeurige ad-hoc queries worden geweigerd, wat de meeste injectie-/DoS-vectoren elimineert.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // blokkeer diepe nesting
    costAnalysis({ maximumCost: 1000 }),            // blokkeer brede/dure queries vóór uitvoering
  ],
});
```

## Auth

Authenticeer één keer (valideer de token in `context`), en **autoriseer vervolgens per veld/resolver** — vertrouw er nooit op dat de client velden weglaat. Doe checks in resolvers of in een laag zoals GraphQL Shield, en **stel het introspection-schema of uitgebreide stack traces nooit bloot** in productie.

## Waarom het belangrijk is

REST-endpoints zijn van nature begrensd; één enkele GraphQL-query is dat niet. Senior-interviewers willen de **cost-based** mindset — depth is noodzakelijk maar onvoldoende, complexity-analyse plus persisted queries is het echte antwoord — en de discipline van autorisatie per resolver.

De dreiging: onbegrensde queries

Verdedigingen

Auth

Waarom het belangrijk is

Gerelateerde vragen