背景
GraphQL 是一种类似于 RESTful 的 API 模式，但是更加灵活和高效。GraphQL 可以定义一个数据模型，然后使用查询语言来读取或修改数据。与传统的 RESTful API 不同，GraphQL 允许客户端明确地告诉服务器它需要什么样的数据，从而减少了过多的网络请求次数以及一些安全性相关的问题。
然而，在 GraphQL 中，处理错误变得更加重要，因为 GraphQL 查询中的错误可能反映为对客户端的错误响应。如果这样的错误响应被过于详细地返回给了客户端，那么攻击者可以利用这些信息进行攻击。
由于 GraphQL 是一种较新的技术，开发人员在处理 GraphQL 错误的方法上可能会存在一些不足。因此，本文将探讨如何优化 GraphQL 错误的处理方式，以更好地保障应用程序的安全性以及减少客户端的错误响应。
优化方法
1. 避免返回敏感信息
在开发 GraphQL 接口时，避免返回敏感信息至关重要。一般来说，不应该返回任何与用户身份认证、会话会议等相关的信息。如果返回的查询结果中包含与身份认证有关的信息，则攻击者可以利用这些信息进行密码重置、CSRF 攻击等。
为了避免这种情况的发生，我们应该在 GraphQL 中解析任何域名，以便了解哪些查询请求需要进行身份验证。此外，还可以通过在接口中使用节点凭证来保护 GraphQL 查询中的数据。这样可以确保用户和攻击者之间的分离。
2. 返回错误消息
当 GraphQL 查询请求出现错误时，我们应该向客户端返回相应的错误消息，以帮助客户端开发人员更好地调试问题。但是，错误消息应该越抽象越好，以免过多的细节泄露给攻击者。
3. 避免暴露类型信息
类似于 RESTful API，GraphQL API 中的每个域都可能包含各种类型的数据。但是，在 GraphQL 中，类型信息非常重要，因为客户端可以使用它们来构建查询参数。因此，我们需要注意防止类型信息泄漏。
在 GraphQL 中，每个域都有一个 __typename 属性，它包含有关域的类型信息。通过返回 __typename 属性，攻击者就可以很容易地知道查询到的信息是哪个类型的。因此，在处理 GraphQL 中的错误时，我们应该避免暴露 __typename 属性。
4. 对查询进行限制和授权
GraphQL 查询中的限制和授权非常重要。限制和授权可以避免客户端查询大量数据或进行恶意操作。
例如，一个查询可能包含太多的数据，并且很可能会耗尽服务器的资源。因此，我们应该在 GraphQL APIs 上设置查询限制，并检查每个查询以确保它不会消耗过多的资源。此外，我们还可以通过制定角色、权限来进行授权，以保障只有有权限的用户才可以访问特定的数据。
示例代码
以下代码演示了如何在 GraphQL 查询中返回错误信息，以便更好地调试问题。查询端点是 /users，查询名称是 getUser。如果用户找不到，我们返回错误消息“用户不存在”。
-- -------------------- ---- -------
---- ----- -
------- ---- ----- ----
-
---- ---- -
--- ---
----- -------
-
---- ------------- -
-------- -------
-
-- -- --------
----- --------- -
------ -
-------- -------- - -- -- -------- ----- -- -
----- ---- - --------------- -- ------- --- ----
-- ------- -
------ -
-------- -------
-
-
------ -----
-
-
-总结
GraphQL 应用程序的安全性和性能取决于如何处理查询请求和错误。为了确保应用程序的安全性，我们应该在查询解析过程中尽可能地减少暴露重要信息。此外，我们还可以对查询进行限制和授权，并提供错误消息以帮助客户端开发人员快速定位问题。
虽然 GraphQL 功能非常强大，但我们仍然需要在应用程序中仔细处理错误，以避免出现安全问题。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65a0a8acadd4f0e0ff8e83ee