Hvordan sikrer du et GraphQL-API mot misbrukende spørringer?

Question

IT Interview Practice · Accepted Answer

Fleksibiliteten som gjør GraphQL kraftig gjør det også til en **DoS-flate**: en klient kan nøste en spørring dypt eller be om enorme lister i ett kall. Du forsvarer deg i lag — **dybdegrenser, kompleksitets-/kostnadsanalyse, rate limiting og skikkelig auth** — som spørrespråket ikke håndhever for deg.

## Trusselen: ubegrensede spørringer

```graphql
# En ondsinnet syklisk spørring: hvert nivå multipliserer arbeidet eksponentielt
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Forsvar

- **Dybdebegrensning** — avvis spørringer nøstet dypere enn, si, 7 nivåer. En billig første forsvarslinje.
- **Kostnads-/kompleksitetsanalyse** — tilordne hvert felt en kostnad, vekt listefelt etter deres `first`-argument, og avvis før utførelse hvis totalen overskrider et budsjett. Sterkere enn ren dybde fordi det tar høyde for listebredde.
- **Rate limiting** — budsjetter per klient, ideelt på **spørringskostnad** (ikke bare antall forespørsler), så én dyr spørring teller som mange.
- **Persisted-/allow-listede spørringer** — i produksjon, aksepter bare et forhåndsregistrert sett med spørringer; vilkårlige ad-hoc-spørringer avvises, noe som eliminerer de fleste injeksjons-/DoS-vektorene.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // blokker dyp nøsting
    costAnalysis({ maximumCost: 1000 }),            // blokker brede/dyre spørringer før utførelse
  ],
});
```

## Auth

Autentiser én gang (valider tokenet i `context`), deretter **autoriser per felt/resolver** — stol aldri på at klienten utelater felt. Gjør sjekker i resolvers eller et lag som GraphQL Shield, og **eksponer aldri introspection-schemaet** eller detaljerte stack traces i produksjon.

## Hvorfor det er viktig

REST-endepunkter er naturlig avgrensede; en enkelt GraphQL-spørring er det ikke. Senior-intervjuere vil ha det **kostnadsbaserte** tankesettet — dybde er nødvendig, men ikke tilstrekkelig, kompleksitetsanalyse pluss persisted queries er det egentlige svaret — og disiplinen med autorisasjon per resolver.

Trusselen: ubegrensede spørringer

Forsvar

Auth

Hvorfor det er viktig

Relaterte spørsmål