abusive queries కు వ్యతిరేకంగా మీరు ఒక GraphQL API ను ఎలా secure చేస్తారు?

Question

IT Interview Practice · Accepted Answer

GraphQL ను శక్తివంతం చేసే flexibility దాన్ని ఒక **DoS surface** గా కూడా చేస్తుంది: ఒక client ఒక query ను లోతుగా nest చేయవచ్చు లేదా ఒకే call లో భారీ lists ను request చేయవచ్చు. మీరు layers లో రక్షించుకుంటారు — **depth limits, complexity/cost analysis, rate limiting, మరియు సరైన auth** — వీటిలో ఏదీ query language మీ కోసం అమలు చేయదు.

## ముప్పు: unbounded queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## రక్షణలు

- **Depth limiting** — ఉదాహరణకు 7 levels కంటే ఎక్కువ nested queries ను తిరస్కరించండి. చౌకైన మొదటి రక్షణ రేఖ.
- **Cost/complexity analysis** — ప్రతి field కు ఒక cost ను కేటాయించండి, list fields ను వాటి `first` argument ద్వారా weight చేయండి, మరియు మొత్తం ఒక budget ను మించితే execution కు ముందు తిరస్కరించండి. list breadth ను పరిగణనలోకి తీసుకుంటుంది కాబట్టి raw depth కంటే బలమైనది.
- **Rate limiting** — per-client budgets, ఆదర్శంగా **query cost** పై (కేవలం request count పై కాదు), తద్వారా ఒక ఖరీదైన query అనేకంగా లెక్కించబడుతుంది.
- **Persisted/allow-listed queries** — production లో, ముందుగా-registered queries సెట్ ను మాత్రమే అంగీకరించండి; ఏకపక్ష ad-hoc queries తిరస్కరించబడతాయి, ఇది చాలా injection/DoS vectors ను తొలగిస్తుంది.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

ఒకసారి authenticate చేయండి (`context` లో token ను validate చేయండి), ఆపై **per field/resolver authorize చేయండి** — fields ను వదిలివేయడానికి client ను ఎప్పుడూ నమ్మవద్దు. resolvers లో లేదా GraphQL Shield వంటి layer లో checks చేయండి, మరియు production లో **introspection schema ను ఎప్పుడూ expose చేయవద్దు** లేదా verbose stack traces ను చూపవద్దు.

## ఇది ఎందుకు ముఖ్యం

REST endpoints సహజంగా bounded; ఒకే GraphQL query కాదు. Senior interviewers **cost-based** మనస్తత్వాన్ని కోరుకుంటారు — depth అవసరం కానీ సరిపోదు, complexity analysis తో పాటు persisted queries నిజమైన సమాధానం — మరియు per-resolver authorization యొక్క క్రమశిక్షణ.

ముప్పు: unbounded queries

రక్షణలు

Auth

ఇది ఎందుకు ముఖ్యం

సంబంధిత ప్రశ్నలు