Herkese açık GraphQL introspection: neden sorun ve nasıl kapatılır

NODE_ENV production olduğunda introspection'ı kapat. Ekibinin şemayı Sandbox'ta keşfetmeye devam edebilmesi için yerelde açık tut.

import { ApolloServer } from "@apollo/server";

const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: process.env.NODE_ENV !== "production",
});

Yoga'nın birinci sınıf bir plugin'i var; graphql-http ise graphql-js'ten bir doğrulama kuralı kullanır. İkisi de introspection sorgularını çalışmadan önce durdurur.

// GraphQL Yoga
import { createYoga } from "graphql-yoga";
import { useDisableIntrospection } from "@graphql-yoga/plugin-disable-introspection";

export const yoga = createYoga({
  schema,
  plugins: process.env.NODE_ENV === "production" ? [useDisableIntrospection()] : [],
});

// graphql-http (or express-graphql)
import { NoSchemaIntrospectionCustomRule } from "graphql";

const validationRules = process.env.NODE_ENV === "production"
  ? [NoSchemaIntrospectionCustomRule]
  : [];

GraphiQL, Playground ve Apollo Sandbox, insanların şemayı keşfetmesine yardımcı olmak için vardır — herkese açık bir production endpoint'inde yerleri yoktur. Onları bir auth kontrolünün arkasına al ya da production build'inde hiç mount etme.

Introspection'ı kapatmak bir sertleştirme adımıdır, erişim kontrolü değil. Her alanın resolver seviyesinde hâlâ düzgün yetkilendirmeye ihtiyacı vardır — aksi halde bir alan adını tahmin eden herkes onu yine çağırabilir. Introspection'ı tek katman olarak değil, katmanlardan biri olarak gör.