GraphQL 是一种非常强大的 API 查询语言和运行时，它允许客户端定义需要请求的数据，并且只返回客户端所需的数据。但是，这也使得 GraphQL API 比传统 REST API 更容易被攻击。在本文中，我们将介绍一些常见的 GraphQL 攻击类型，并提供一些防范措施。
常见的 GraphQL 攻击
竞争条件
竞争条件是一种攻击，在这种攻击中，攻击者试图同时发出多个请求，这些请求可能会导致不可预测的结果，例如创建两个重复的对象。防范措施是应该使用乐观锁定或悲观锁定来防止这种攻击。
查询深度攻击
查询深度攻击是一种攻击，在这种攻击中，攻击者发送一个高度嵌套的查询，这可能会导致服务器崩溃，这种攻击也被称为“递归查询攻击”。最好的解决方案是在 GraphQL 配置中限制查询的深度和复杂度。
DDoS 攻击
DDoS 攻击是一种攻击，在这种攻击中，攻击者试图通过向服务器发送大量请求来使服务器变得不可用。防范措施是应该对 GraphQL API 引入限制或使用专门的 DDoS 防护服务。
SQL 注入
在 GraphQL 中，开发人员有可能使用动态查询生成 SQL，这港口可能导致 SQL 注入攻击。防范措施是应该使用参数化查询或使用编译时查询来减少攻击面。
如何预防 GraphQL 攻击
以下是一些减少 GraphQL 攻击面的建议。
限制查询深度和复杂度
应该在 GraphQL 配置中限制查询的深度和复杂度。这些限制将防止有意或无意的查询攻击。GraphQL 框架通常提供一些设置，例如 maxDepth 和 maxComplexity，以便进行这些限制。
const schemaWithLimit = depthLimit(5, complexityLimit(1000, mySchema))
使用参数化查询
参数化查询是一种将用户提供的数据分离到查询语句之外的方法，从而减少 SQL 注入攻击的可能性。开发人员应该使用参数化 SQL 查询，而不是内插用户提供的值，也应该验证所有输入以防止攻击。
-- -------------------- ---- -------
----- ----- - -
------ -
---- -----
----- ----- - --
--
----- ------ - --------
------------------- ------- ----- ---- -- -
-- ----- -
-------------------------
- ---- -
-------------------------
-
---引入认证和授权机制
在 GraphQL API 上应该实现认证和授权机制，以确保只有授权的用户可以访问敏感数据。开发人员可以使用第三方身份验证和授权服务，例如 Auth0 或 Okta。
-- -------------------- ---- -------
----- ------------------ - --- -------------------
----- --------
------- -
----- -
----- ---------
--------------- ----- - ---- -- -
-- ------- -
----- --- ----------------------
-
------ -----------------------
--
--
--
---其他防御措施
开发人员应该注意其他常用安全措施，例如防止 CSRF 攻击、使用 HTTPS 加密通信、使用 Rate Limiting 和黑名单等。
结论
GraphQL API 的强大和灵活性使得它成为开发人员首选的 API 开发方式之一，但这也使得它容易成为攻击目标。本文介绍了 GraphQL 攻击类型，并提供了防范建议。通过采取这些建议和其他防御措施，可以保护 GraphQL API 兼容和安全。
参考资料：
- https://graphql.org/learn/serving-over-http/
- https://medium.com/@samwsoftware/graphql-ddos-attacks-how-to-protect-yourself-33d43c91b063
- https://dev.to/ibrahima92/how-to-secure-your-graphql-api-3i64
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/670621c2d91dce0dc858bdb3