在构建 GraphQL API 时，保障 API 安全性是非常重要的。由于 GraphQL API 具有高度灵活性和可定制性，因此需要特别注意安全性问题。在本文中，我们将介绍在构建 GraphQL API 时需要注意的安全性问题，并提供相应的解决方案和示例代码。
1. 认证
认证是一项至关重要的安全措施，用于防止未经授权的访问用户访问 GraphQL API。GraphQL API 可能包含敏感数据，因此认证能够对 API 数据进行保护。常见的认证方式有基于 Token 的认证和基于 Cookie 的认证方式，下面我们将详细介绍这两种认证方式。
基于 Token 的认证
基于 Token 的认证是目前最流行的一种认证方式。这是一种无状态认证方式，使得服务器端不必存储任何东西，可以大大降低服务器端的压力。
在 GraphQL API 中使用基于 Token 的认证时，我们可以为每个用户生成唯一的 Token，然后将此 Token 存储在用户的本地存储中。当用户访问 API 时，用户必须将 Token 包含在请求中，以便服务器验证 Token 的有效性。以下是使用基于 Token 的认证的示例代码：
-- -------------------- ---- ------- ---- ----- - --------------- ---- ----- - --------- ----- -- ---------------- ---- ---- - --- --- ----- ------- ------ ------- - ---- ----------- - ------ ------- ----- ----- - ---- -------- - ------------ -------- --------- --------- ------------ -
在上面的示例中，使用了 @auth 指令来指定需要验证 Token 的 GraphQL API。如果未提供有效 Token，则不允许访问 API。
基于 Cookie 的认证
基于 Cookie 的认证方式依赖于浏览器的 Cookie，将 Token 保存在 Cookie 中。当用户访问 GraphQL API 时，服务器能够读取浏览器发送的 Cookie，以此验证用户的身份。以下是使用基于 Cookie 的认证方式的示例代码：
-- -------------------- ---- ------- ---- ----- - --------------- ---- ----- - --------- ----- -- ---------------- ---- ---- - --- --- ----- ------- ------ ------- - ---- ----------- - ----- ----- - ---- -------- - ------------ -------- --------- --------- ------------ -
在上面的示例中，@auth 指令指定了 GraphQL API 需要进行身份验证。GraphQL API 会检查 Authorization 请求头和 access_token cookie 中是否存在有效 Token。
2. 授权
在认证完成后，还需要确保用户仅能访问其有权访问的数据和功能。这可以通过授权机制实现。两种常见的授权机制是基于角色的访问控制和基于资源的访问控制。
基于角色的访问控制
基于角色的访问控制允许将用户分组到不同的角色中，并创建访问角色所需功能的 API。以下是一个基于角色的访问控制示例：
-- -------------------- ---- ------- ---- ----- - --------------- ---- ----- -------------- -------- - --------- ----- -- ---------------- --------- -------------- -------- -- ---------------- ---- ---- - --- --- ----- ------- ------ ------- - ---- ----------- - ----- ----- - ---- -------- - ------------ -------- --------- --------- ------------ -
在上面的示例中，使用 hasRole 指令定义了一个可选参数 role，允许将用户分组到不同的角色中。GraphQL API 会先进行身份验证，然后使用 hasRole 指令来检查用户是否具有访问该 API 的权限。
基于资源的访问控制
基于资源的访问控制是一种更为细粒度的授权机制，它允许创建对特定资源进行授权的 API。以下是一个基于资源的访问控制示例：
-- -------------------- ---- ------- ---- ----- - ------------------ ----- ---- ----- -------------------- ---- - --------- ----- -- ---------------- --------- -------------------- ---- -- ---------------- ---- ---- - --- --- ----- ------- ------ ------- - ---- ----------- - ----- ----- - ---- -------- - ------------ -------- --------- --------- ------------ -
在上面的示例中，使用 hasAccessTo 指令指定了一个必选参数 userId，允许 GraphQL API 在访问数据时进行授权判断。GraphQL API会先进行身份验证，然后使用 hasAccessTo 指令来检查用户是否具有访问该资源的权限。
3. 防止查询过深
在 GraphQL API 中，由于请求中可以包含任意数量的字段和关联数据，因此可能会发生滥用查询的情况，从而影响服务器性能。这种查询行为称为查询过深。下面是一些防范查询过深的方法：
限制查询深度
可以限制查询深度以防止查询过深，这可以通过在查询中使用特殊指令来实现。在 GraphQL 中，我们可以使用 @recurse(depth: n) 指令来限制查询的深度。以下是一个示例：
type User {
id: ID!
name: String
friends: [User] @recurse(depth: 2)
}在上面的示例中，@recurse(depth: 2) 指令限制了 friends 字段的查询深度为 2，这意味着，查询后代朋友关系可以再深一层，但是再更深一层便不能查询。
限制查询的复杂度
GraphQL API 在查询时还可以设置查询复杂度限制，以防止恶意查询。我们可以使用 GraphQL 模块来限制查询的复杂度。以下是一个示例：
-- -------------------- ---- ------- ----- ---------- - ------------------------------- ----- ------ - - ---------------- --------------- -- ----- ------ - --- -------------- --------- ---------- ---------------- ------------- ---
在上面的示例中，depthLimit 模块限制了查询的深度不超过 5 层，这意味着，查询的复杂度限制为 5 层。
结论
在构建GraphQL API时，需要特别注意安全性问题。认证和授权是保障 API 安全性的两个关键措施。查询深度限制也是一种重要的措施，可以防止恶意查询，保护服务器资源。我们希望本文可以帮助开发者加强对 GraphQL API 安全性的认识及防范的措施。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6752d7688bd460d3ad991dd0