使 GraphQL api 安全

Question

我开始将 GQL 与 Express 结合使用（这太棒了）。所以我有几个问题。

1. 我怎样才能使 GQL 安全，以便只有我才能访问 API 和 playground。就像 Instagram 一样。您无法访问他们的“游乐场”。

2. 当我使用 rest api 时，我通过 Headers 发送令牌以确保安全。现在把它们放在哪里？

     app.use(
       "/graphql",
       graphqlHTTP({
         schema,
         graphiql: true,
       })
     )
   

   谢谢你。

Answer 1

1. 我强烈建议你不要让你的操场开着 生产。游乐场是一种网络应用程序，具有自身的复杂性，因此也具有自身的漏洞。见Hacking GraphQL Playground
2. GraphQL 中的身份验证处理与 REST 中的完全相同。实际上，您甚至可以通过 GraphQL 应用程序进行 REST 身份验证。您可以在这里找到更多关于如何在 GraphQL 中正确管理身份验证、授权和访问控制的信息：Authentication, Authorization and Access Control for GraphQL

Answer 2

对于 1) playground 是用你那里的 graphiql 标志打开或关闭的。至于保护它，你会想使用一个中间层来检查某种传入的令牌，并根据对该令牌的验证来允许/拒绝。

2. GraphQL 在这方面的工作方式与 REST 端点完全相同。标头中的标记是标准。