Introspection GraphQL publik: mengapa ini masalah dan cara mematikannya

Matikan introspection ketika NODE_ENV bernilai production. Biarkan aktif secara lokal agar tim Anda tetap bisa menjelajahi skema di Sandbox.

import { ApolloServer } from "@apollo/server";

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== "production",
});

Yoga memiliki plugin resmi; graphql-http menggunakan validation rule dari graphql-js. Keduanya menghentikan query introspection sebelum dijalankan.

// GraphQL Yoga
import { createYoga } from "graphql-yoga";
import { useDisableIntrospection } from "@graphql-yoga/plugin-disable-introspection";

export const yoga = createYoga({
  schema,
  plugins: process.env.NODE_ENV === "production" ? [useDisableIntrospection()] : [],
});

// graphql-http (or express-graphql)
import { NoSchemaIntrospectionCustomRule } from "graphql";

const validationRules = process.env.NODE_ENV === "production"
  ? [NoSchemaIntrospectionCustomRule]
  : [];

GraphiQL, Playground, dan Apollo Sandbox dibuat untuk membantu manusia menjelajahi skema — tempatnya bukan di endpoint production publik. Lindungi dengan pemeriksaan autentikasi atau jangan pasang sama sekali di build production.

Menonaktifkan introspection adalah langkah hardening, bukan kontrol akses. Setiap field tetap membutuhkan otorisasi yang tepat di level resolver — jika tidak, siapa pun yang menebak nama field tetap bisa memanggilnya. Perlakukan introspection sebagai salah satu lapisan, bukan satu-satunya lapisan.