GraphQL 安全性 – 想象一下未来
GraphQL 是一种支持客户端在 Web 应用中定义查询的语言，作为 RESTful API 的替代方案，已经引起了广泛的关注。相对于传统的 RESTful API，GraphQL 具有更灵活的数据类型，更快的数据查询速度，以及更简单的数据请求过程，已成为越来越多前端开发者选择的技术方案。
然而，与任何技术一样，GraphQL 也存在安全问题。本文将重点讨论 GraphQL 安全性，并提供一些建议来确保你的 GraphQL 应用程序的安全性。
GraphQL 的四个安全问题
- 超额请求
超额请求（Over-fetching / Under-fetching）是 GraphQL 中的一种常见安全问题。过度请求可能会导致服务器端压力增加，因为它会开始根据较复杂的查询进行更多的计算和处理，导致系统崩溃或遭受拒绝服务攻击。
可以采用一些技术来解决 GraphQL 超额请求问题。例如，通过限制查询的嵌套深度和较大的查询结果大小，可以对查询进行限制。当然，对于数据模型的设计也应该尽量保持简单，不要让客户端承担过多的业务逻辑计算。
- 权限漏洞
GraphQL 是一种数据驱动的语言。这意味着，客户端可以使用 GraphQL 查询来检索某个对象，并针对该对象使用多个查询（例如，用户信息和与之关联的商品等）。但如果服务器未能正确地配置 GraphQL 程序，可能会发现某些查询返回了出乎意料的结果，以及未经授权的数据访问。
为避免权限漏洞，可以通过编写并使用 GraphQL 权限中间件来覆盖默认 GraphQL 行为。权限中间件可以根据用户身份验证和角色、对象类型、可用字段等来检查查询。GraphQL 服务应该始终遵循与 REST API 相同的最佳实践来保护资源并限制访问。
- 参数注入
GraphQL 允许客户端使用变量来传递参数，同时允许使用对象型参数（例如，拥有 HTTP 滥用参数）传递参数。攻击者可以通过这种方式执行参数注入攻击。正如传统的 SQL 注入一样，这可能会导致 Web 应用程序在查询过程中执行不希望的操作。
为了避免参数注入攻击，应该对输入参数进行验证，拒绝任何不合法的字符或格式。在需要使用变量时，应该确保只接受带引号的变量字符串，而不是整数或布尔类型值。
- DDos 攻击
DDoS 攻击是一种常见的网络攻击，它能够使服务器崩溃或变得不可用。在 GraphQL 上进行 DDoS 攻击需要特定的开销，但是它确实会给那些没有正确配置网络装置的系统带来一定风险。
为了避免 DDoS 攻击，需要在 GraphQL 上应用一些防御策略。例如，启用请求限制和限制时间的查询和变量处理，同时禁止客户端执行时被视为垃圾请求的后续查询。
最佳实践
GraphQL 安全的最佳实践包括：
- 监控访问 GraphQL API 的客户端的数量和数据大小。
- 在 GraphQL 服务器上启用访问限制，如 IP地址过滤、带有访问令牌的API访问等。
- 配置请求头和响应头确保安全。
- 避免开放式查询，准确描述所有可能的查询。
结论
GraphQL 的安全性问题与任何其他 Web 应用程序一样，应该始终保持关注。本文讨论了 GraphQL 的四个常见安全问题，并提出了相应的建议，以确保你的 GraphQL 应用程序的安全性。遵循最佳实践建议，你可以显著减少 GraphQL 应用程序遭受各种安全威胁的风险。但还应该时刻关注安全问题，及时发现隐藏的漏洞。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f632f8c5c563ced5807d8b
