GraphQL 是一种用于构建 API 的查询语言，可以帮助前端开发人员更高效地获取所需数据。然而，GraphQL 也有一些安全隐患，如未经身份验证的访问和数据泄露。在本文中，我们将讨论如何在 GraphQL 中设置安全传输，以保护您的应用程序和用户数据。
使用 HTTPS 协议
首先，您应该始终使用 HTTPS 协议来传输 GraphQL 查询和响应。HTTPS 可以加密传输的数据，防止中间人攻击和窃听。您可以使用自己的 SSL 证书或使用第三方服务（如 Let's Encrypt）来获取免费的 SSL 证书。
以下是一个使用 HTTPS 协议的 GraphQL 查询示例：
POST https://example.com/graphql
Content-Type: application/json
Authorization: Bearer <token>
{
"query": "{ user(id: 123) { name } }"
}限制查询和突变
GraphQL 允许客户端指定查询和突变的字段。这种灵活性使得攻击者可以使用恶意查询或突变来访问敏感数据或执行危险操作。为了防止这种情况发生，您应该限制客户端可以执行的查询和突变。
例如，您可以使用 graphql-shield 库来定义查询和突变的权限。以下是一个使用 graphql-shield 的示例：
-- -------------------- ---- -------
----- - ----- ------ - - -------------------------
----- --------------- - ------ ------ ------------ ---
----- -------- ----- ---- ----- -- -
------ -------- --- ----
--
-
----- ----------- - --------
------ -
----- ----------------
--
--------- -
----------- ----------------
--
--在此示例中，我们定义了一个 isAuthenticated 规则，该规则要求用户必须经过身份验证才能访问 user 查询和 updateUser 突变。然后，我们使用 permissions 变量来包装我们的 schema，以确保只有经过身份验证的用户才能执行这些操作。
使用 JWT 进行身份验证
为了限制查询和突变，您需要进行身份验证。JWT（JSON Web Token）是一种常用的身份验证方法，可以在客户端和服务器之间传输安全的身份验证信息。JWT 由三部分组成：头部、载荷和签名。
以下是一个使用 JWT 进行身份验证的 GraphQL 查询示例：
-- -------------------- ---- -------
----- - ------------- --- - - ------------------------
----- --- - -----------------------
----- -------- - ----
---- ----- -
-------- ----- ----
-
---- ---- -
--- ---
----- -------
-
-
----- --------- - -
------ -
----- -------- ----- -------- -- -
------ -------------------------------
--
--
-
----- ------ - --- --------------
---------
----------
-------- -- --- -- -- -
----- ----- - ------------------------- -- --
----- ---- - ----------------- ---------
------ - --- ---- -
--
--
----------------------- --- -- -- -
------------------- ----- -- --------
--在此示例中，我们使用 JWT 进行身份验证，并将用户信息添加到上下文中。在 context 函数中，我们从 Authorization 头中获取 JWT，然后使用 jwt.verify() 函数对其进行验证。如果 JWT 有效，则将用户信息添加到上下文中，供后续查询使用。
防止数据泄露
最后，您应该防止数据泄露。GraphQL 允许客户端指定要返回的字段，这使得攻击者可以使用查询来访问敏感数据。为了防止这种情况发生，您应该限制客户端可以访问的字段。
例如，您可以使用 graphql-depth-limit 库来限制查询的深度。以下是一个使用 graphql-depth-limit 的示例：
-- -------------------- ---- -------
----- - ------------- --- - - ------------------------
----- ---------- - ------------------------------
----- -------- - ----
---- ----- -
-------- ----- ----
-
---- ---- -
--- ---
----- -------
------ -------
--------- -------
-
-
----- --------- - -
------ -
----- -------- ----- -------- -- -
------ -------------------------------
--
--
-
----- ------ - --- --------------
---------
----------
---------------- ----------------
-------- -- --- -- -- -
------ - -- -
--
--
----------------------- --- -- -- -
------------------- ----- -- --------
--在此示例中，我们使用 depthLimit() 函数来限制查询的深度。这可以防止客户端查询敏感数据或执行危险操作。
结论
在本文中，我们讨论了如何在 GraphQL 中设置安全传输，以保护您的应用程序和用户数据。我们建议使用 HTTPS 协议、限制查询和突变、使用 JWT 进行身份验证和防止数据泄露。通过实现这些安全措施，您可以确保您的 GraphQL API 是安全的，并保护您的用户数据不受攻击者的侵害。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/675f888de49b4d071625d318