آپ کسی GraphQL API کو abusive queries کے خلاف کیسے محفوظ کرتے ہیں؟

Question

IT Interview Practice · Accepted Answer

وہی لچک جو GraphQL کو طاقتور بناتی ہے، اسے ایک **DoS surface** بھی بنا دیتی ہے: ایک client کسی query کو گہرائی سے nest کر سکتا ہے یا ایک ہی call میں بڑی lists مانگ سکتا ہے۔ آپ تہوں میں دفاع کرتے ہیں — **depth limits، complexity/cost analysis، rate limiting، اور مناسب auth** — جن میں سے کوئی بھی query language آپ کے لیے نافذ نہیں کرتی۔

## خطرہ: بے حد queries

```graphql
# A malicious cyclic query: each level multiplies the work exponentially
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## دفاع

- **Depth limiting** — مثلاً 7 سطحوں سے زیادہ nested queries کو مسترد کریں۔ دفاع کی سستی پہلی لائن۔
- **Cost/complexity analysis** — ہر field کو ایک cost دیں، list fields کو ان کے `first` argument کے حساب سے weight کریں، اور execution سے پہلے مسترد کر دیں اگر مجموعہ budget سے تجاوز کرے۔ یہ خام depth سے مضبوط ہے کیونکہ یہ list کی چوڑائی کو مدنظر رکھتا ہے۔
- **Rate limiting** — per-client budgets، بہتر یہ کہ **query cost** پر (صرف request count پر نہیں)، تاکہ ایک مہنگی query کئی کے برابر گنی جائے۔
- **Persisted/allow-listed queries** — production میں صرف پہلے سے رجسٹرڈ queries کا سیٹ قبول کریں؛ من مانی ad-hoc queries مسترد ہوتی ہیں، جو زیادہ تر injection/DoS vectors ختم کر دیتا ہے۔

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // block deep nesting
    costAnalysis({ maximumCost: 1000 }),            // block broad/expensive queries pre-execution
  ],
});
```

## Auth

ایک بار authenticate کریں (`context` میں token کی تصدیق کریں)، پھر **per field/resolver authorize** کریں — کبھی client پر بھروسا نہ کریں کہ وہ fields چھوڑ دے گا۔ Checks resolvers میں کریں یا GraphQL Shield جیسی تہہ میں، اور production میں **کبھی introspection schema یا تفصیلی stack traces ظاہر نہ کریں**۔

## یہ کیوں اہم ہے

REST endpoints فطری طور پر محدود ہوتے ہیں؛ ایک واحد GraphQL query نہیں۔ Senior interviewers **cost پر مبنی** سوچ چاہتے ہیں — depth ضروری ہے مگر ناکافی، complexity analysis کے ساتھ persisted queries ہی اصل جواب ہے — اور per-resolver authorization کا نظم۔

خطرہ: بے حد queries

دفاع

Auth

یہ کیوں اہم ہے

متعلقہ سوالات