தவறான (abusive) query-களுக்கு எதிராக ஒரு GraphQL API-ஐ நீங்கள் எவ்வாறு பாதுகாக்கிறீர்கள்?

Question

IT Interview Practice · Accepted Answer

GraphQL-ஐ சக்திவாய்ந்ததாக்கும் நெகிழ்வுத்தன்மையே அதை ஒரு **DoS surface**-ஆகவும் ஆக்குகிறது: ஒரு client ஒரு query-ஐ ஆழமாக nest செய்யலாம் அல்லது ஒரே அழைப்பில் பெரிய list-களைக் கோரலாம். நீங்கள் அடுக்குகளில் தற்காக்கிறீர்கள் — **depth limits, complexity/cost analysis, rate limiting, மற்றும் சரியான auth** — அவற்றில் எதையும் query language உங்களுக்காக அமல்படுத்தாது.

## அச்சுறுத்தல்: எல்லையற்ற query-கள்

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## தற்காப்புகள்

- **Depth limiting** — உதாரணமாக 7 நிலைகளுக்கு அப்பால் nest செய்யப்பட்ட query-களை நிராகரிக்கவும். மலிவான முதல் தற்காப்பு வரிசை.
- **Cost/complexity analysis** — ஒவ்வொரு field-க்கும் ஒரு cost-ஐ ஒதுக்கவும், list field-களை அவற்றின் `first` argument மூலம் எடைபோடவும், மொத்தம் ஒரு budget-ஐ மீறினால் execution-க்கு முன் நிராகரிக்கவும். அப்பட்டமான depth-ஐ விட வலிமையானது, ஏனெனில் இது list breadth-ஐக் கணக்கில் எடுத்துக்கொள்கிறது.
- **Rate limiting** — per-client budget-கள், சிறந்தது **query cost**-இன் அடிப்படையில் (வெறும் request எண்ணிக்கை அல்ல), எனவே ஒரு விலையுயர்ந்த query பலவற்றாகக் கணக்கிடப்படுகிறது.
- **Persisted/allow-listed query-கள்** — production-இல், முன்பே பதிவுசெய்யப்பட்ட ஒரு தொகுப்பு query-களை மட்டுமே ஏற்றுக்கொள்ளுங்கள்; தன்னிச்சையான ad-hoc query-கள் மறுக்கப்படுகின்றன, பெரும்பாலான injection/DoS vector-களை நீக்குகிறது.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

ஒருமுறை authenticate செய்யுங்கள் (`context`-இல் token-ஐ validate செய்யுங்கள்), பிறகு **per field/resolver authorize செய்யுங்கள்** — fields-ஐ விட்டுவிட client-ஐ ஒருபோதும் நம்பாதீர்கள். Resolver-களில் அல்லது GraphQL Shield போன்ற ஒரு layer-இல் சோதனைகளைச் செய்யுங்கள், மேலும் **introspection schema-ஐயோ** அல்லது விரிவான stack trace-களையோ production-இல் ஒருபோதும் வெளிப்படுத்தாதீர்கள்.

## இது ஏன் முக்கியம்

REST endpoint-கள் இயல்பாகவே எல்லைக்குட்பட்டவை; ஒரு தனி GraphQL query அப்படி அல்ல. Senior interviewer-கள் **cost-based** மனநிலையை விரும்புகிறார்கள் — depth அவசியம் ஆனால் போதாது, complexity analysis மற்றும் persisted queries தான் உண்மையான பதில் — மற்றும் per-resolver authorization-இன் ஒழுங்கு.

அச்சுறுத்தல்: எல்லையற்ற query-கள்

தற்காப்புகள்

Auth

இது ஏன் முக்கியம்

தொடர்புடைய கேள்விகள்