如何保护你的GraphQL API免受恶意查询？

使用GraphQL，你可以随时精确查询任何你想要的内容。对于API来说，这是令人惊奇的，但是也有复杂的安全隐患。恶意人员可能提交一个开销大的嵌套的查询，而不是请求合法的有用数据，来使你的服务器、数据库、网络或所有这些设施过载。没有正确的保护措施，你就会面临拒绝服务（Denial of Service，DoS）攻击的风险。

例如，在我们Spectrum的GraphQL API中，我们有一个如下关系：

type Thread {
  messages(first: Int, after: String): [Message]
}

type Message {
  thread: Thread
}

type Query {
  thread(id: ID!): Thread
}

如你所见，你既可以查询一个线程的消息列表，也能查询一个消息的线程。这种循环关系让恶意人员可以构建一个如下的开销大的嵌套循环：

query maliciousQuery {
  thread(id: "some-id") {
    messages(first: 99999) {
      thread {
        messages(first: 99999) {
          thread {
            messages(first: 99999) {
              thread {
                # ...repeat times 10000...
              }
            }
          }
        }
      }
    }
  }
}

原文链接:【https://www.infoq.cn/article/6bE0YJMK6iofaRV47iVL】。未经作者许可，禁止转载。