Kako zavaruješ GraphQL API pred zlonamernimi poizvedbami?

Question

IT Interview Practice · Accepted Answer

Prožnost, zaradi katere je GraphQL močan, ga hkrati naredi **površino za DoS**: odjemalec lahko poizvedbo globoko gnezdi ali v enem klicu zahteva ogromne sezname. Braniš se v slojih — **omejitve globine, analiza kompleksnosti/cene, omejevanje hitrosti in ustrezna avtentikacija** — pri čemer nobene od teh poizvedovalni jezik ne uveljavlja namesto tebe.

## Grožnja: neomejene poizvedbe

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Obramba

- **Omejevanje globine** — zavrni poizvedbe, gnezdene globlje od recimo 7 ravni. Poceni prva obrambna linija.
- **Analiza cene/kompleksnosti** — vsakemu polju dodeli ceno, seznamska polja obteži z njihovim argumentom `first` in zavrni pred izvajanjem, če skupna vsota preseže proračun. Močnejša od gole globine, ker upošteva širino seznamov.
- **Omejevanje hitrosti** — proračuni na odjemalca, idealno na **ceno poizvedbe** (ne le število zahtev), tako da ena draga poizvedba šteje kot več.
- **Persisted/allow-listed poizvedbe** — v produkciji sprejmi samo vnaprej registriran nabor poizvedb; poljubne priložnostne poizvedbe se zavrnejo, kar odpravi večino vektorjev injekcije/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Avtentikacija in avtorizacija

Avtenticiraj enkrat (validiraj žeton v `context`), nato **avtoriziraj na polje/resolver** — nikoli ne zaupaj, da bo odjemalec izpustil polja. Preverjanja izvajaj v resolverjih ali v sloju, kot je GraphQL Shield, in **nikoli ne izpostavi introspekcijske sheme** ali obsežnih sledi sklada v produkciji.

## Zakaj je to pomembno

Končne točke REST so naravno omejene; ena sama GraphQL poizvedba ni. Senior izpraševalci želijo miselnost **na osnovi cene** — globina je nujna, a nezadostna, analiza kompleksnosti plus persisted queries pa je pravi odgovor — in disciplino avtorizacije na resolver.

Grožnja: neomejene poizvedbe

Obramba

Avtentikacija in avtorizacija

Zakaj je to pomembno

Povezana vprašanja