GraphQL 是一种新型的 API 查询语言和运行时，它允许客户端精确地声明它们需要的数据，并使服务端能够提供更高效、强大的 API。然而，错误处理和安全性是任何网络通信协议应背负的责任。GraphQL 也不例外。
在本文中，我们将深入探讨 GraphQL 的错误处理和安全性，并提供一些指导意义和示例代码。
错误处理
GraphQL 有很多内置的错误处理机制，它们被设计成与 GraphQL 的类型系统无缝协作，为客户端提供更好的错误信息。
查询语法错误
当查询语法无效时，GraphQL 可以返回具有有用信息的错误，例如查询的位置和错误类型。例如，以下查询包含一个语法错误：
query {
user {
id
name
emails
}
}这将返回以下错误：
-- -------------------- ---- -------
-
--------- -
-
---------- ------- ----- ----- -------- -- ---- ---------
------------ -
-
------- --
--------- -
-
-
-
-
-运行时错误
如果在执行查询过程中发生错误，GraphQL 也可以返回有意义的错误信息。
例如，以下查询尝试从一个未定义的变量中获取属性：
query {
user(id: $id) {
name
}
}这将返回以下错误：
-- -------------------- ---- -------
-
--------- -
-
---------- --------- ------- -- --- ----------
------------ -
-
------- --
--------- --
-
-
-
-
-错误处理指导意义
- 始终提供有意义的错误信息，以帮助客户端更好地理解错误原因。
- 考虑用 GraphQL 的类型系统检查查询语法和变量类型，以减少运行时错误。
安全性
GraphQL 的安全性与其他 API 一样重要。为了安全地暴露 GraphQL API，我们应该遵循以下安全性最佳实践。
认证和授权
GraphQL 所有的查询和请求都应该通过认证和授权。这意味着客户端需要提供一个有效的认证令牌，并被授权访问他们请求的资源。
对于认证，可以使用各种机制，例如基于令牌或身份验证。社区中有许多成熟的认证解决方案可供选择，例如 OAuth 2.0。授权则可以通过使用 GraphQL 的自定义指令或其他方式实现。
过滤和限制数据
GraphQL 的一个强大功能是能够只返回客户端所请求的数据。但是，必须小心谨慎地设计查询架构，以确保客户端不能检索到他们没有权限访问的数据。
例如，可以使用 GraphQL 的 @deprecated 指令标记敏感字段，并在服务器端拦截这些查询。
检查查询深度
攻击者可能会发送大量深度嵌套的查询来占用服务器资源。为了防止这种攻击，我们可以限制查询的深度和复杂度。
例如，可以在 GraphQL 的服务器端实现中使用深度限制器和复杂度检查器，以确保查询深度和复杂度不会超过预先设置的阈值。
安全性指导意义
- 使用身份验证和授权机制来保护 GraphQL API。
- 调整查询架构，以防止客户端访问他们没有权限访问的数据。
- 使用查询深度和复杂度限制器来防止潜在的攻击。
示例代码
以下是使用 Node.js 和 Express.js 在服务器端实现基本的 GraphQL API 的示例代码。
-- -------------------- ---- -------
----- ------- - ------------------
----- ----------- - --------------------------
----- -
----------
--------------
------------------
-------------
- - ------------------
----- --- - ---------
-- ----
----- ----- - -
- --- ---- ----- -------- ------ ------------------- --
- --- ---- ----- ------ ------ ----------------- -
-
-- ----
----- -------- - --- -------------------
----- -------
------- -- -- --
--- - ----- --------- --
----- - ----- ------------- --
------ - ----- ------------- -
--
--
-- ----
----- --------- - --- -------------------
----- --------
------- -- -- --
----- -
----- ---------
----- -
--- - ----- --------- -
--
-------- --- ----- -- --------------- -- ------- --- --------
-
--
--
-- ------- ------
----- ------ - --- ---------------
------ ---------
--
-- -- ------- --
--------
-----------
-------------
-------
--------- ----- -- ------
------- ---- -- -------
--
-
-- -----
---------------- -- -- -
-------------------- ------ -- ------- -- -------------------------------
--现在，我们已经实现了一个基本的 GraphQL API。我们可以使用以下查询来测试它：
query {
user(id: "1") {
name
email
}
}它将返回：
{
"data": {
"user": {
"name": "Alice",
"email": "alice@example.com"
}
}
}总结
在本文中，我们深入探讨了 GraphQL 的错误处理和安全性，并提供了一些指导意义和示例代码。在使用 GraphQL 时，请务必考虑这些最佳实践，以确保您的应用程序能够在安全和可靠的环境中运行。
希望这篇文章对您有所帮助！
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/659f7f4cadd4f0e0ff8174ee