Как защитить GraphQL API от вредоносных запросов?

Question

IT Interview Practice · Accepted Answer

Гибкость, делающая GraphQL мощным, также превращает его в **поверхность для DoS**: клиент может глубоко вложить запрос или запросить огромные списки за один вызов. Вы защищаетесь послойно — **ограничение глубины, анализ сложности/стоимости, rate limiting и корректная авторизация** — ничего из этого язык запросов не обеспечивает за вас.

## Угроза: неограниченные запросы

```graphql
# Вредоносный циклический запрос: каждый уровень экспоненциально умножает работу
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Защита

- **Ограничение глубины (depth limiting)** — отклоняйте запросы, вложенные глубже, скажем, 7 уровней. Дешёвая первая линия обороны.
- **Анализ стоимости/сложности** — назначайте каждому полю стоимость, взвешивайте списочные поля по их аргументу `first` и отклоняйте до выполнения, если сумма превышает бюджет. Сильнее чистой глубины, потому что учитывает ширину списков.
- **Rate limiting** — бюджеты на клиента, в идеале по **стоимости запроса** (а не только по числу запросов), чтобы один дорогой запрос считался за много.
- **Persisted/allow-listed queries** — в продакшене принимайте только заранее зарегистрированный набор запросов; произвольные ad-hoc запросы отклоняются, устраняя большинство векторов инъекций/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // блокируем глубокую вложенность
    costAnalysis({ maximumCost: 1000 }),            // блокируем широкие/дорогие запросы до выполнения
  ],
});
```

## Авторизация

Аутентифицируйте один раз (проверяйте токен в `context`), затем **авторизуйте на уровне поля/resolver** — никогда не доверяйте клиенту опустить поля. Делайте проверки в resolvers или в слое вроде GraphQL Shield и **никогда не раскрывайте схему через introspection** и подробные stack traces в продакшене.

## Почему это важно

Конечные точки REST естественным образом ограничены; один запрос GraphQL — нет. Senior-интервьюеры хотят услышать **стоимостное** мышление — глубина необходима, но недостаточна, анализ сложности плюс persisted queries — вот настоящий ответ — и дисциплину авторизации на уровне каждого resolver.

Угроза: неограниченные запросы

Защита

Авторизация

Почему это важно

Похожие вопросы