GraphQL 是一种在客户端和服务器交互的查询语言和运行时环境。它旨在提供更高效、强大和灵活的 API，从而使应用程序开发更加简单、可靠和安全。GraphQL 具有出色的性能和安全性，因此它受到了越来越多前端开发者的关注。但即便如此，依然有一些安全问题需要考虑和解决。本文将探讨 GraphQL 的安全问题并提供一些有用的解决方案和建议。
安全问题
DoS 攻击
DoS 攻击是一种拒绝服务攻击，其目的是通过推送大量请求来消耗服务器的资源，从而使其无法响应正常请求。GraphQL 暴露了一个查询接口，这样就有可能让攻击者利用这个接口进行 DoS 攻击。
访问控制
在一个 GraphQL API 中，攻击者可能在未经授权的情况下获取敏感数据或执行敏感操作，特别是在没有正确实施访问控制的情况下。
注入攻击
如果不正确的处理 GraphQL 查询，攻击者可能会注入恶意代码或查询，导致数据泄漏或其他危害。
解决方案
DoS 攻击
为了防止 DoS 攻击，您可以实现查询深度和复杂度限制。这样可以防止查询数据时使用死循环或内存过多的查询。如果查询的工作量超过了所设置的限制，GraphQL 服务器就可以中断查询。
-- -------------------- ---- ------- ----- - ------------------------- - - ----------------------------------------- ----- --- - --------------------- ----- ------ - -------------------- ----- ------------------- - -------------------------------- ------------------- ------------------ ---------------- ------- ---------------- ---------------------- ----
上面的代码示例中，我们使用 graphql-validation-complexity 库来创建一个查询复杂度限制规则。这个库需要一个限制阈值，例如这里的 1000。如果查询的复杂度超过阈值，则会中断查询。
访问控制
为了实施访问控制，您需要首先确定查询操作和访问级别，并确保查询的正确性。GraphQL 允许我们使用自定义权限检查器来管理访问控制。
-- -------------------- ---- -------
----- - ----- ------ - - --------------------------
----- - --------- - - --------------------
----- ----- - -
-------------------- -------
----- -------- ----- ---- ----- -- -
----- ------ - ---------------
------ ---------
--
--
--
----- ----------- - --------
------ -
--- --------------------------
------ --------------------------
----- --------------------------
--
--------- -
------------ --------------------------
-------- --------------------------
----------- --------------------------
--
------------- -
----- --------------------------
--
-- -
-------------- ---- -------------
---
-------------- - ------------在上面的代码示例中，我们使用 graphql-shield 库来实现自定义权限检查器。我们定义了一个规则，用于确定当前用户是否已成功通过身份验证 (或具有其他必要的身份要求)，以便执行特定的操作。然后我们将这个规则应用于查询和变更操作。如果未通过规则测试，则 GraphQL 服务器将返回错误。
注入攻击
为了防止注入攻击，您应该对所有输入参数和查询标识符进行验证和过滤。GraphQL 的类型系统可以帮助您实现这一点。
-- -------------------- ---- -------
----- -
--------------
---------------
------------------
--------------
- - -------------------
----- --- - ---------------
----- -------- - --- -------------------
----- -------
------- -- -- --
--- - ----- --- ----------------------------- --
----- - ----- --- ----------------------------- --
------ - ----- --- ----------------------------- --
---
---
----- ------ - --- ---------------
------ --- -------------------
----- --------
------- -
----- -
----- ---------
----- -
--- - ----- ------------- --
----- - ----- ------------- --
------ - ----- ------------- --
--
-------- ----- -------- ----- -- -
----- ------------ - -
--- -------------
----- ---------------
------ ----------------
--
------ ----- -----------------------------
--
--
--
---
---
-------------- - -------在上面的代码示例中，我们使用 GraphQL 的过滤方法来验证所有的参数。我们使用 xss 库来过滤所有输入参数，并确保查询不会出现注入攻击。
结论
GraphQL 是一个功能强大、灵活且可扩展的 API。但是，由于其查询灵活性，开发人员需要注意安全问题。本文提供了一些解决方案和建议，以帮助开发人员确保GraphQL API的安全性。通过实现更好的访问控制、防止 DoS 攻击和防止注入攻击等措施，您可以更好地保护数据和应用程序。
参考资料
- graphql-validation-complexity
- graphql-shield
- GraphQL Security Overview
- Securing Your GraphQL API from Malicious Queries
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6734db4f0bc820c5824b6fb7