Bir GraphQL API'sini kötüye kullanan sorgulara karşı nasıl güvenli hale getirirsiniz?

Question

IT Interview Practice · Accepted Answer

GraphQL'i güçlü kılan esneklik, onu aynı zamanda bir **DoS yüzeyi** yapar: bir istemci tek bir çağrıda bir sorguyu derinlemesine iç içe geçirebilir veya devasa listeler isteyebilir. Katmanlar halinde savunursunuz — **derinlik limitleri, karmaşıklık/maliyet analizi, hız sınırlaması (rate limiting) ve düzgün auth** — bunların hiçbirini sorgu dili sizin için zorunlu kılmaz.

## Tehdit: sınırsız sorgular

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Savunmalar

- **Derinlik sınırlaması (depth limiting)** — örneğin 7 seviyenin ötesinde iç içe geçmiş sorguları reddedin. Ucuz ilk savunma hattı.
- **Maliyet/karmaşıklık analizi** — her alana bir maliyet atayın, liste alanlarını `first` argümanına göre ağırlıklandırın ve toplam bir bütçeyi aşarsa yürütmeden önce reddedin. Liste genişliğini de hesaba kattığı için ham derinlikten daha güçlüdür.
- **Hız sınırlaması (rate limiting)** — istemci başına bütçeler, ideal olarak **sorgu maliyeti** üzerinden (yalnızca istek sayısı değil), böylece bir pahalı sorgu çok sayıda istek olarak sayılır.
- **Persisted/allow-list'lenmiş sorgular** — üretimde yalnızca önceden kayıtlı bir sorgu kümesini kabul edin; keyfi ad-hoc sorgular reddedilir, bu da çoğu injection/DoS vektörünü ortadan kaldırır.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

Bir kez kimlik doğrulayın (token'ı `context`'te doğrulayın), ardından **alan/resolver başına yetkilendirin** — asla istemcinin alanları çıkarmasına güvenmeyin. Kontrolleri resolver'larda veya GraphQL Shield gibi bir katmanda yapın ve üretimde **asla introspection schema'sını** veya ayrıntılı stack trace'leri açığa çıkarmayın.

## Neden önemli

REST endpoint'leri doğal olarak sınırlıdır; tek bir GraphQL sorgusu değildir. Kıdemli mülakatçılar **maliyet tabanlı** zihniyeti duymak ister — derinlik gereklidir ama yetersizdir, karmaşıklık analizi artı persisted query'ler gerçek yanıttır — ve resolver başına yetkilendirme disiplinini.

Tehdit: sınırsız sorgular

Savunmalar

Auth

Neden önemli

İlgili sorular