如何防止客户端遍历GraphQL Schema并限制查询导航深度？

问题背景 #

你的GraphQL类型定义存在循环引用（如B包含aRef: A!、C包含bRef: B!），客户端可能通过链式查询无限制遍历节点，导致服务器负载过高或数据泄露。需要在服务端实现查询深度与遍历范围的控制。

核心解决方案 #

1. 查询深度限制 #

直接限制客户端查询的嵌套层数，阻止无限递归或过深遍历：

• 使用GraphQL中间件（如graphql-depth-limit），在解析查询前校验深度，超过阈值直接拒绝执行。
• 自定义AST遍历逻辑：解析查询的抽象语法树，计算每个字段的嵌套深度，超出设定值则抛出错误。

2. 字段级遍历控制 #

针对循环或深层关联字段，限制其可查询的场景：

• 条件性返回关联字段：在解析器中判断查询上下文（如用户权限、已遍历次数），超出合理范围则返回null或抛出权限错误。
• 移除非必要反向关联：如果业务不需要客户端反向遍历（如B的aRef），直接从类型定义中移除该字段，或仅在内部API中暴露。

3. 查询复杂度管控 #

结合深度与字段权重计算总复杂度，超过阈值拒绝查询：

• 给关联字段设置更高的复杂度权重（比如基础字段权重1，关联字段权重5），累计计算整个查询的复杂度。
• 强制分页：将深层关联字段改为带分页参数（first/after）的列表类型，限制单次查询返回的节点数量。

4. 封装业务专属查询类型 #

不直接暴露底层实体类型，创建仅包含业务所需字段和关联层级的查询类型：

• 例如定义PublicA类型，仅包含field1和field2；对应的PublicB类型不包含aRef，直接切断循环遍历路径。

示例场景 #

若服务端配置查询深度上限为2层，以下查询会被拦截：

query {
  getA {
    field1
    field2 {
      fieldB1
      fieldB2 {
        fieldC1 # 嵌套深度达3层，超出限制
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者Harsha Limaye