GraphQL 是一种用于 API 的查询语言和运行时环境，它允许客户端明确地调用其自身需要的数据而不是服务器定义的预定义端点。但是，由于 GraphQL 具有强大的查询语言和灵活的数据结构，它也存在数据泄露和注入攻击的风险。
在本文中，我们将讨论如何使用 GraphQL 进行数据验证，以防止这些问题的发生。我们将探讨如何编写自定义验证器来确保 GraphQL 查询中的参数和字段值满足要求，并提供一些示例代码。
GraphQL 查询参数验证
在 GraphQL 中，查询参数可以通过变量进行传递。变量使查询更加可重用和可组合，但由于 GraphQL 查询语言是一个动态类型的语言，所以它也容易受到注入攻击的影响。
例如，假设我们有以下查询：
----- ------------- ---- -
-------- ---- -
----
-----
--------
-
-如果我们不验证变量 id 是否为有效的 ID 类型，攻击者就可以通过注入恶意代码来获取用户的敏感信息。
为了解决这个问题，我们可以编写一个自定义的参数验证器。例如，下面的代码展示了一个简单的验证器，它确保变量 id 是一个有效的 ID：
----- ------------------- - ------------------
----- ------ - ---------------------------
----- -- - --- -------------------
----- -----
---------------- -
------ ----------------
--
----------------- -
-- ------------------- -
----- --- -------------- ----
-
------ -----
--
----------------- -
-- --------- --- ------------ -
----- --- -------------- ----
-
----- ----- - ---------
-- ------------------- -
----- --- -------------- ----
-
------ -----
--
--
-------- ---------------- -
-- ----- -- ----- -- - ----- --
-
----- --------- - -
---
------ -
--------- ----- -
-- ---
--
--
-- ---
-
在这个示例中，我们定义了一个 ID 标量类型，它的验证器确保传递给 user 查询的 id 变量是一个有效的 ID。isValidID 函数可以根据我们的应用程序需求定制。
GraphQL 字段值验证
GraphQL 通过定义类型系统对字段值进行约束。但是，如果我们在类型定义之外使用字段值，就会存在错误的风险。
例如，假设我们有以下类型定义：
---- ---- - ----- ------ ------ ------ --------- ------ -
如果我们的应用程序在查询中使用了用户的密码字段，就可能泄露用户的密码。为了防止这种情况的发生，我们需要编写一个自定义验证器，检查查询中是否存在敏感字段。
例如，下面的代码展示了一个简单的验证器，它排除密码字段的查询：
----- --------------- ------------------ -------------- - ------------------
----- -------- - --- -------------------
----- -------
------- -- -- --
----- ------ ---------------
------ ------ ---------------
--------- -
----- --------------
-------- -------- ----- -------- ----- -- -
----- --- ------------- --------
--
--
---
--
----- ------ - --- ---------------
------ --- -------------------
----- --------
------- -- -- --
----- -
----- ---------
----- -
--- ------ ---------------
--
-------- -------- ----- -- -
-- ----- ---- ---- --
--
--
---
---
--
在这个示例中，我们定义了一个 UserType，它的验证器通过为密码字段的解析器添加 Access denied 错误来拒绝访问该字段。当我们查询用户时，只有 name 和 email 两个字段可以访问。
结论
GraphQL 是一个灵活和强大的查询语言和运行时环境，但也存在一些安全风险。为了保护我们的数据，我们需要使用自定义验证器来确保查询参数和字段值满足要求。
在本文中，我们学习了如何使用 GraphQL 进行数据验证，并提供了示例代码。通过使用这些技术，我们可以确保我们的应用程序是安全的，我们的用户的数据是安全的。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/672345e42e7021665e0f2d8c