Como você protege uma API GraphQL contra consultas abusivas?

Question

IT Interview Practice · Accepted Answer

A flexibilidade que torna o GraphQL poderoso também o torna uma **superfície de DoS**: um cliente pode aninhar uma consulta profundamente ou pedir listas enormes em uma só chamada. Você se defende em camadas — **limites de profundidade, análise de complexidade/custo, rate limiting e auth adequada** — nenhuma das quais a linguagem de consulta impõe por você.

## A ameaça: consultas ilimitadas

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Defesas

- **Limitação de profundidade** — rejeite consultas aninhadas além de, digamos, 7 níveis. Uma primeira linha de defesa barata.
- **Análise de custo/complexidade** — atribua um custo a cada campo, pondere os campos de lista pelo argumento `first` e rejeite antes da execução se o total exceder um orçamento. Mais forte que a profundidade bruta porque leva em conta a largura das listas.
- **Rate limiting** — orçamentos por cliente, idealmente sobre o **custo da consulta** (não apenas a contagem de requisições), para que uma consulta cara conte como muitas.
- **Persisted/allow-listed queries** — em produção, aceite apenas um conjunto pré-registrado de consultas; consultas ad-hoc arbitrárias são recusadas, eliminando a maioria dos vetores de injeção/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Autentique uma vez (valide o token no `context`), depois **autorize por campo/resolver** — nunca confie que o cliente vai omitir campos. Faça as verificações nos resolvers ou em uma camada como o GraphQL Shield, e **nunca exponha o schema de introspection** nem stack traces verbosos em produção.

## Por que isso importa

Endpoints REST são naturalmente limitados; uma única consulta GraphQL não é. Entrevistadores sênior querem a mentalidade **baseada em custo** — profundidade é necessária mas insuficiente, análise de complexidade mais persisted queries é a resposta real — e a disciplina da autorização por resolver.

A ameaça: consultas ilimitadas

Defesas

Auth

Por que isso importa

Perguntas relacionadas