Dlaczego zapisywanie zapytań GraphQL po stronie klienta jest bezpieczne?

Question

GraphQL został niedawno wydany i wydaje się zachęcać do pisania zapytań po stronie klienta.

1. Co pozwala bezpiecznie pisać zapytania GraphQL po stronie klienta, ale nie zapytania SQL?
2. Czy GraphQL nie podlega zastrzykom?
3. Jeśli tak przydatne jest posiadanie zapytań po stronie klienta, dlaczego nie uczynić wersji SQL niepodlegającej zastrzykom?

Answer 1

Ponieważ ta odpowiedź nie została udzielona przez użytkowników, którzy odpowiedzieli na nią w luźnym kanale, opublikuję ich odpowiedzi.

1. Kwerendy GraphQL są sprawdzane względem schematu, który został zbudowany jawnie w celu udostępnienia danych klientowi. SQL nie sprawdza poprawności kwerendy przed czymkolwiek innym niż struktura schematu DB.
2. Teoretycznie twój punkt końcowy GraphQL ma pewne zabezpieczenia, które umożliwiają sprawdzanie, czy użytkownik może wysyłać zapytania do danych w punkcie początkowym zapytania. Gdy już znajdują się w schemacie opartym na wykresie, uprawnienia są nieodłączne od definicji schematu graficznego, a wtrysk niczego nie osiągnie.
3. Tworzenie wersji SQL, która nie jest przedmiotem iniekcji, wymagałoby zastosowania tych samych sprawdzeń, które wykonuje GraphQL. Pewne zatwierdzenie, że wszystkie żądane dane/mutacje są dozwolone. Jak cytuje się na czacie, "Injection nie jest problemem nieodłącznym dla SQL".

Odpowiedzi dobro charlie i samwgoldman z GraphQL/# Slack ogólnym czacie.