Introspección pública de GraphQL: por qué es un problema y cómo desactivarla

Desactiva la introspección cuando NODE_ENV sea production. Mantenla activada en local para que tu equipo pueda seguir explorando el esquema en el Sandbox.

import { ApolloServer } from "@apollo/server";

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== "production",
});

Yoga tiene un plugin oficial; graphql-http expone una regla de validación de graphql-js. Ambos detienen las consultas de introspección antes de que se ejecuten.

// GraphQL Yoga
import { createYoga } from "graphql-yoga";
import { useDisableIntrospection } from "@graphql-yoga/plugin-disable-introspection";

export const yoga = createYoga({
  schema,
  plugins: process.env.NODE_ENV === "production" ? [useDisableIntrospection()] : [],
});

// graphql-http (or express-graphql)
import { NoSchemaIntrospectionCustomRule } from "graphql";

const validationRules = process.env.NODE_ENV === "production"
  ? [NoSchemaIntrospectionCustomRule]
  : [];

GraphiQL, Playground y Apollo Sandbox existen para ayudar a las personas a explorar el esquema; no tienen cabida en un endpoint público de producción. Protégelas con una comprobación de autenticación o no las montes en el build de producción.

Desactivar la introspección es un paso de hardening, no un control de acceso. Cada campo sigue necesitando una autorización adecuada a nivel de resolver; de lo contrario, cualquiera que adivine el nombre de un campo puede seguir llamándolo. Trata la introspección como una capa más, no como la única.