Làm sao bảo mật một API GraphQL trước các query lạm dụng?

Question

IT Interview Practice · Accepted Answer

Chính sự linh hoạt làm nên sức mạnh của GraphQL cũng biến nó thành một **bề mặt DoS**: client có thể lồng một query rất sâu hoặc yêu cầu danh sách khổng lồ trong một lệnh gọi. Bạn phòng thủ theo nhiều lớp — **giới hạn độ sâu, phân tích complexity/cost, rate limiting, và auth đúng cách** — không lớp nào được ngôn ngữ query tự ép cho bạn.

## Mối đe dọa: query không giới hạn

```graphql
# Một query vòng độc hại: mỗi cấp nhân khối lượng công việc theo cấp số nhân
query Bomb {
  user { friends { friends { friends { friends { name } } } } }
}
```

## Các biện pháp phòng thủ

- **Giới hạn độ sâu (depth limiting)** — từ chối query lồng sâu quá, ví dụ 7 cấp. Tuyến phòng thủ đầu tiên, rẻ.
- **Phân tích cost/complexity** — gán chi phí cho mỗi field, đánh trọng số field list theo argument `first`, và từ chối trước khi thực thi nếu tổng vượt ngân sách. Mạnh hơn depth thuần vì tính cả bề rộng của list.
- **Rate limiting** — ngân sách theo từng client, lý tưởng là dựa trên **chi phí query** (không chỉ số request), để một query đắt tính bằng nhiều đơn vị.
- **Persisted/allow-list query** — trong production, chỉ chấp nhận một tập query đã đăng ký trước; query tùy ý bị từ chối, loại bỏ hầu hết vector injection/DoS.

```js
import depthLimit from "graphql-depth-limit";
import costAnalysis from "graphql-cost-analysis";

const server = new ApolloServer({
  schema,
  validationRules: [
    depthLimit(7),                                  // chặn lồng sâu
    costAnalysis({ maximumCost: 1000 }),            // chặn query rộng/đắt trước khi thực thi
  ],
});
```

## Auth

Xác thực một lần (kiểm tra token trong `context`), rồi **phân quyền theo từng field/resolver** — đừng bao giờ tin rằng client sẽ bỏ qua field. Kiểm tra trong resolver hoặc một lớp như GraphQL Shield, và **không bao giờ phơi bày schema introspection** hay stack trace chi tiết trong production.

## Tại sao điều này quan trọng

Endpoint REST tự nhiên có giới hạn; một query GraphQL đơn lẻ thì không. Người phỏng vấn cấp senior muốn nghe tư duy **dựa trên cost** — depth là cần nhưng chưa đủ, phân tích complexity cộng persisted query mới là câu trả lời thật — và kỷ luật phân quyền theo từng resolver.

Mối đe dọa: query không giới hạn

Các biện pháp phòng thủ

Auth

Tại sao điều này quan trọng

Câu hỏi liên quan