使用 graphql 防止关系数据泄漏利用

Question

如何防止人们查询他们不应该在 graphql 中看到的对象的关系？

例如，假设我们有以下数据模型。

type Board {
    id: ID! @unique
    name: String!
    boardUserRoles: [BoardUserRole!]!
}

type BoardUserRole {
    id: ID! @unique
    board: Board!
    user: User!
    role: BoardRole!
}

type User {
    id: ID! @unique
    tasks: [Task!]!
    userName: String! @unique
    boardUserRoles: [BoardUserRole!]!
}

这是一种设置，其中有可以访问某些板的用户。而BoardUserRole 决定了用户对特定表的角色。

现在，我过来查询一个我有权使用的板，并查看它的名称。

query {
    board(where: {id: "3"}) {
        id
        name
    }
}

这很好。但是，如果我更改查询，我可以联系系统的其他用户并查看他们的任务。我基本上可以看到与该用户相关的任何内容。

query {
    board(where: {id: "3"}) {
        id
        name
        boardUserRoles {
            user {
                tasks
            }
        }
    }
}

您如何防止此类查询？

Answer 1

在@xadm 的帮助下。我能够组合出一个非常适合我的解决方案。

读完这篇关于query execution works的文章。我想出了如何编写字段解析器。字段解析器允许我确定特定字段的解析方式。我为Board: boardUserRoles 做了一个字段解析器。

这是我的字段解析器。

Board: {
    boardUserRoles: async (parent: Board, args, ctx, info) => {
        // getting user id from header.
        const userId: string = VerificationHelper.getUserId(ctx);

        // Verifying role of user.
        return VerificationHelper.verifyRole(userId, ["ADMIN"], ctx).pipe(
            map(
                (result: boolean) => {
                    // If the user has an admin role, show the roles
                    if (result) {
                        return parent.boardUserRoles;
                    // If not, map the results to undefined
                    } else {
                        return undefined;
                    }
                }
            )
        ).toPromise();
    }
}

然后我将该解析器添加到我在 graphql 创建中的解析器列表中。

const server: GraphQLServer = new GraphQLServer({
    typeDefs: "src/schema.graphql",
    resolvers: {
        Query: QueryResolvers,
        Mutation: MutationResolvers,
        Subscription: SubscriptionResolvers,
        ...FieldResolvers, // A file that contains all my field resolvers.
        AuthPayload
    },
    context: (req: any) => ({
        ...req,
        prisma: new Prisma({
            typeDefs: "src/generated/prisma.graphql",
            endpoint: endpoint()
        })
    })
});

这是一个非常基本的字段解析器。它检查用户角色并确定是否应该隐藏数据或显示数据。我浏览了整个架构并发现了其他数据漏洞。我更正了使用字段解析器找到的那些，现在一切正常。

感谢@xadm 的帮助，您的参考资料为我指明了正确的方向。

Answer 2

使用 Prisma 时，您可以通过重新定义应用程序架构中的类型来修改向客户端应用程序公开的数据结构。

您在问题中显示的 SDL 定义在我看来类似于 Prisma 数据模型。我假设您还有一个 API 服务器（可能使用 graphl-yoga 或 apollo-server 实现），它公开将由您的客户端应用程序使用的 GraphQL API。我们将定义此 API 的 GraphQL 架构称为应用程序架构。在应用程序架构内，您可以重新定义数据模型中的类型，以将它们公开给客户的方式。

这是一个简单的例子：

假设您的 Prisma 数据模型中有以下 User 类型：

type User {
  id: ID! @unique
  email: String! @unique
  password: String!
  name: String!
  posts: [Post!]!
}

现在，您不想将password 公开给您的客户。因此，您可以做的是重新定义 User 类型，使您的客户应该能够访问它。以下是如何在应用程序架构中定义它（通常称为schema.graphql）：

type User {
  id: ID!
  email: String!
  name: String!
  posts: [Post!]!
}

您可以找到此示例的运行版本here。此外，如果您对应用程序架构和数据模型的术语感到困惑，我建议您阅读 Prisma 文档的this 部分。