GraphQL 是一种用于API的查询语言，是 Facebook 在2012年开发的一种新API风格，可以用于客户端向服务器发出请求，以获得所需的数据。由于它具有更好的性能和灵活性，越来越多的公司和开发者都在使用 GraphQL。
然而，GraphQL 也存在一些安全性问题，攻击者可能会利用这些漏洞来获取或损坏敏感信息。本文将介绍几种常见的 GraphQL 安全问题，并介绍防范方法，以帮助开发者和企业提高 GraphQL 系统的安全性。
常见安全问题
1. 注入攻击
与 SQL 注入类似，GraphQL 注入攻击也是攻击者通过恶意输入数据，利用 GraphQL 查询的功能获取敏感信息或修改数据的行为。攻击者利用 GraphQL 查询字符串构造伪造的查询语句，以查询、修改、删除数据等操作。
例如，这是一个查询用户信息的 GraphQL 代码：
query {
user(id: 123) {
name
email
}
}攻击者可以将id参数设置为查询字符串，例如：
query {
user(id: "123 or 1=1") {
name
email
}
}攻击者就可以获取到所有用户的信息，而不只是id为123的用户。
2. 敏感信息泄露
GraphQL 默认情况下可以查询所有字段和类型，这可能会导致敏感信息泄露。攻击者可以使用 GraphQL 查询获取到应用程序的配置信息或源代码，并利用这些信息发起更多的攻击。
例如，这个查询可以获取服务器的版本和操作系统：
// javascriptcn.com 代码示例
query {
__schema {
types {
name
}
queryType {
name
}
mutationType {
name
}
}
}3. 重放攻击
重放攻击是指攻击者通过截获并重放网络请求来模拟已进行过的操作，例如用户登录、下订单等行为。攻击者可以通过重放 GraphQL 查询来获取或修改敏感数据。
例如，攻击者可以使用重放攻击来获取某个用户的密钥：
mutation {
authenticateUser(username: "user1", password: "password123") {
token
refreshToken
}
}攻击者可以重放这个请求，并获取token和refreshToken。
防范方法
1. 输入验证
输入验证是阻止注入攻击的有效方法。GraphQL 有内置的类型系统，可以验证输入数据，从而验证用户的输入是否符合预期。
例如，这个代码演示了如何验证字符串长度：
// javascriptcn.com 代码示例
input RegisterInput {
username: String!
password: String!
email: String!
}
type Mutation {
register(input: RegisterInput!): Boolean
}
extend type Query {
users(filter: UserFilter!): [User!]!
}
input UserFilter {
username_contains: String!
}2. 模糊类型匹配
GraphQL 允许使用“...”运算符将两个 GraphQL 类型组合成一个新类型，从而构造出新的查询类型。攻击者可以利用这个功能来查询应用程序中不存在的字段。
例如，这是一个查询用户信息的 GraphQL 代码：
query {
user(id: 123) {
name
email
}
}攻击者可以将查询代码改为：
query {
user(id: 123) {
name
hackingField
}
}攻击者可以使用...运算符来组合其他类型来定义hackingField。
为了防止这种攻击，应该使用严格的模式匹配，只允许查询已定义的字段。
3. 计数查询
计数查询是一种用于查询大众数据的常规查询，这种查询不会涉及敏感数据或具有副作用的操作。攻击者可以利用这种查询来进行重放攻击或批量攻击。
例如，这是一个查询用户总数的 GraphQL 代码：
query {
userCount
}为了防止计数查询攻击，应该对查询类型进行限制，只允许合法的请求。
总结
GraphQL 是一个非常强大的 API 风格，但是针对其安全性问题也需要我们非常谨慎。本文介绍了三种安全问题和相应的防范方法，开发者和企业应该仔细审核 GraphQL 查询，并采取必要的安全措施来保护应用程序。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/651eb2a495b1f8cacd65f2e7