공개된 GraphQL 인트로스펙션: 문제가 되는 이유와 끄는 방법

NODE_ENV가 production일 때 인트로스펙션을 끄세요. 로컬에서는 켜 두어 팀이 Sandbox에서 계속 스키마를 탐색할 수 있게 하세요.

import { ApolloServer } from "@apollo/server";

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== "production",
});

Yoga에는 전용 플러그인이 있고, graphql-http에서는 graphql-js의 검증 규칙을 사용할 수 있습니다. 둘 다 인트로스펙션 쿼리를 실행 전에 차단합니다.

// GraphQL Yoga
import { createYoga } from "graphql-yoga";
import { useDisableIntrospection } from "@graphql-yoga/plugin-disable-introspection";

export const yoga = createYoga({
  schema,
  plugins: process.env.NODE_ENV === "production" ? [useDisableIntrospection()] : [],
});

// graphql-http (or express-graphql)
import { NoSchemaIntrospectionCustomRule } from "graphql";

const validationRules = process.env.NODE_ENV === "production"
  ? [NoSchemaIntrospectionCustomRule]
  : [];

GraphiQL, Playground, Apollo Sandbox는 사람이 스키마를 탐색하도록 돕기 위한 것으로, 공개 프로덕션 엔드포인트에는 어울리지 않습니다. 인증 검사 뒤에 두거나 프로덕션 빌드에서는 아예 마운트하지 마세요.

인트로스펙션 비활성화는 보안 강화 조치이지 접근 제어가 아닙니다. 모든 필드에는 여전히 리졸버 수준의 적절한 권한 검사가 필요합니다. 그렇지 않으면 필드 이름을 추측한 누구나 그것을 호출할 수 있습니다. 인트로스펙션 차단은 유일한 방어 계층이 아니라 여러 계층 중 하나로 다루세요.