Introspection GraphQL pubblica: perché è un problema e come disattivarla

Disattiva l'introspection quando NODE_ENV è production. Lasciala attiva in locale così il tuo team può ancora esplorare lo schema nella Sandbox.

import { ApolloServer } from "@apollo/server";

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== "production",
});

Yoga ha un plugin dedicato; graphql-http usa una regola di validazione di graphql-js. Entrambi bloccano le query di introspection prima che vengano eseguite.

// GraphQL Yoga
import { createYoga } from "graphql-yoga";
import { useDisableIntrospection } from "@graphql-yoga/plugin-disable-introspection";

export const yoga = createYoga({
  schema,
  plugins: process.env.NODE_ENV === "production" ? [useDisableIntrospection()] : [],
});

// graphql-http (or express-graphql)
import { NoSchemaIntrospectionCustomRule } from "graphql";

const validationRules = process.env.NODE_ENV === "production"
  ? [NoSchemaIntrospectionCustomRule]
  : [];

GraphiQL, Playground e Apollo Sandbox servono ad aiutare le persone a esplorare lo schema — non appartengono a un endpoint di produzione pubblico. Proteggili con un controllo di autenticazione o non montarli affatto nella build di produzione.

Disattivare l'introspection è una misura di hardening, non un controllo degli accessi. Ogni campo ha comunque bisogno di un'autorizzazione adeguata a livello di resolver — altrimenti chiunque indovini il nome di un campo può ancora chiamarlo. Considera l'introspection come uno dei livelli, non come l'unico.