前言
GraphQL 作为一种新型的 Web API 技术，本质上是一种查询语言，其语言特性使得 GraphQL API 可以轻松地满足前端应用程序的订阅、查询、过滤、分页和排序需求。然而，在 GraphQL API 的使用过程中，一些开发者可能会面对到安全方面的考虑，而本文将重点介绍 GraphQL schema 如何实现数据库 SQL 注入方案。
什么是 SQL 注入？
SQL 注入是指攻击者通过将恶意的 SQL 代码注入到 Web 应用程序中，达到篡改或破坏数据库的目的。在传统的 Web 应用程序中，通常使用 SQL 语句查询数据库操作，因此，如果应用程序不做好安全防范措施，那么 SQL 注入攻击就会变得非常容易。
具体来说，攻击者可以通过构造一些恶意的查询语句来篡改数据库，比如：
SELECT * FROM users WHERE username = 'admin' AND password = ''
如果攻击者将 password 的值改变为 ' or 1=1 --，那么完整的查询语句就变成了：
SELECT * FROM users WHERE username = 'admin' AND password = '' or 1=1 -- '
这条查询语句将会匹配所有的用户，无需身份验证即可获取所有用户信息，这对于攻击者来说是非常有利的。
GraphQL schema 实现 SQL 注入防范
在 GraphQL 中，使用 GraphQL schema 定义数据模型，开发者可以声明一个类似于 RESTful API 的 API 接口。GraphQL schema 主要包括类型定义、查询类型、变更类型等一些基本部分，因此，在 GraphQL schema 的编写过程中，我们可以针对 SQL 注入攻击进行针对性的防范。
对于 GraphQL API，一般来说，攻击者不能直接操作数据库。GraphQL schema 是一种类型定义语言，它只允许控制器构造可被解释的语句。因此，仅仅通过 GraphQL schema 这一层面，应该已经可以实现一定程度的防范。
具体来说，在 GraphQL schema 的编写过程中，可以使用一些类型定义，比如 GraphQLNonNull、GraphQLList 等，来确保数据类型的准确性和完整性，从而避免一些非法的查询请求。此外，GraphQL schema 本身就具有自省的功能，即可从 GraphQL schema 中自动生成 GraphQL 查询语句，这也为安全防护提供了一定程度的保障。
以下是一个 GraphQL schema 定义的示例：
-- -------------------- ---- ------- ---- ---- - --- --- ----- ------- ---- ---- - ---- ----- - -------- ----- ---- ------ -------- - ----- --------------- - ----- ------- ---- ---- - ---- -------- - ----------------- ------------------ ----- - ------ - ------ ----- --------- -------- -
上述 GraphQL schema 中，Query 类型中定义了 user 和 users 两种查询类型。Mutation 类型中定义了一个 createUser 变更类型，用于创建用户。同时，还定义了数据模型 User 和数据字段 id、name、age 用于存储用户数据。
在 GraphQL schema 中，通过使用 GraphQLNonNull 和 GraphQLList 等类型定义，可以确保数据的完整性和正确性，保护数据不受恶意查询的影响。同时，GraphQL schema 还具有自省功能，可以在执行 GraphQL 查询语句时，自动校验数据类型和查询结构，从而避免一些非法查询语句。
案例分析
为了更好地理解 GraphQL schema 如何实现数据库 SQL 注入防范，我们可以考虑一个案例。以一个简单的 GraphQL API 为例，进行具体讲解。
假设我们有一个 GraphQL API，用于查询并展示一张图片的信息：
-- -------------------- ---- ------- ---- ----- - --- --- ----- ------- ------------ ------- ---- ------- - ---- ----- - --------- ----- ----- ------- --------- - ----- ---------------- - ----- ------- ------------ ------- ---- ------- - ---- -------- - ------------------ ------------------- ------ - ------ - ------ ----- --------- -------- -
以上 GraphQL schema 中，定义了一个数据类型 Image，包括 id、name、description、url 等数据字段。针对该数据模型，定义了 Query 和 Mutation 两种类型，用于查询和创建图片信息。其中，Query 类型定义了两种查询类型，分别可以根据 id 获取指定图片，或者获取所有图片信息。Mutation 类型定义了一个 createImage 变更类型，用于创建新的图片信息。
对于以上 GraphQL API 而言，如果没有采取相应的防护措施，那么存在一定的 SQL 注入风险。比如，如果攻击者构造一个如下查询语句：
{
"query": "query { image(id: 1); drop table images }"
}那么该查询语句就会将 images 表删除，这完全是非法的。
为了确保 SQL 注入别误地发生，我们可以在 GraphQL API 层面上进行针对性防护。一种有效的方式是使用 graphql-shield 插件。
graphql-shield 可以为 GraphQL schema 中的每个 resolver 都设置权限验证，从而保证数据的正确性和安全性。具体来说，可以在定义 GraphQL schema 的同时，添加对应的权限验证规则，判断用户是否有访问该资源的权限。
以下是在 graphql-shield 插件中，基于此案例实现的权限验证查询规则：
-- -------------------- ---- -------
----- - ----- ------ - - --------------------------
----- --------------- - ------ ------ ------------ ---
----- --------- ------ - ---- -- -- -
------ ---- --- -----
-
--
----- ----------- - --------
------ -
------ ----------------
------- ----------------
--
--------- -
------------ ----------------
--
---通过 graphql-shield 插件，我们可以预先定义针对每种查询和变更操作的访问规则，并在执行每个 resolver 时进行权限验证，从而保证数据的安全和正确性。
在以上示例中，我们预先定义了针对 Query.image、Query.images 和 Mutation.createImage 查询和变更操作的权限验证规则，要求用户必须登录后才有访问权限。
总结
GraphQL API 的类型定义和自省功能，使得其可以实现相对可靠的数据防护和安全防范。本文中，我们介绍了 GraphQL schema 是如何通过类型定义、自省功能以及 graphql-shield 插件等手段，来防范数据库 SQL 注入攻击。在实际开发过程中，我们需要进行多层安全防护，确保数据的完整性和安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64a4505148841e98940bf44b