Cum securizezi un API GraphQL împotriva interogărilor abuzive?

Question

IT Interview Practice · Accepted Answer

Flexibilitatea care face GraphQL puternic îl face totodată o **suprafață de DoS**: un client poate imbrica o interogare adânc sau poate cere liste uriașe într-un singur apel. Te aperi pe straturi — **limite de adâncime, analiză de complexitate/cost, rate limiting și autentificare corectă** — dintre care limbajul de interogare nu impune niciunul în locul tău.

## Amenințarea: interogări nelimitate

```graphql
# O interogare ciclică malițioasă: fiecare nivel multiplică munca exponențial
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Apărări

- **Limitarea adâncimii** — respinge interogările imbricate dincolo de, să zicem, 7 niveluri. O primă linie de apărare ieftină.
- **Analiza de cost/complexitate** — atribuie fiecărui câmp un cost, ponderează câmpurile de tip listă după argumentul lor `first` și respinge înainte de execuție dacă totalul depășește un buget. Mai puternică decât adâncimea brută deoarece ia în calcul lățimea listelor.
- **Rate limiting** — bugete per client, ideal pe **costul interogării** (nu doar pe numărul de cereri), astfel încât o interogare scumpă să conteze cât mai multe.
- **Persisted/allow-listed queries** — în producție, accepți doar un set preînregistrat de interogări; interogările ad-hoc arbitrare sunt refuzate, eliminând majoritatea vectorilor de injecție/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // blochează imbricarea adâncă
    costAnalysis({ maximumCost: 1000 }),            // blochează interogările largi/scumpe înainte de execuție
  ],
});
```

## Autentificare

Autentifică o singură dată (validează token-ul în `context`), apoi **autorizează per câmp/resolver** — nu te baza niciodată pe faptul că clientul va omite câmpuri. Fă verificările în resolvere sau într-un strat precum GraphQL Shield și **nu expune niciodată schema de introspecție** sau stack trace-uri detaliate în producție.

## De ce contează

Endpoint-urile REST sunt limitate în mod natural; o singură interogare GraphQL nu este. Intervievatorii seniori vor mentalitatea **bazată pe cost** — adâncimea este necesară dar insuficientă, analiza de complexitate plus persisted queries este răspunsul real — și disciplina autorizării per resolver.

Amenințarea: interogări nelimitate

Apărări

Autentificare

De ce contează

Întrebări conexe