如何阻止Hasura在远程Schema错误时泄露请求信息？

方法1：配置错误屏蔽规则 #

在Hasura控制台或metadata.json中针对目标远程Schema设置错误屏蔽：

• 进入Remote Schemas页面，选中目标远程Schema，找到Error Handling配置项
• 启用Mask errors选项，自定义通用错误响应内容（例如返回{"error": "服务暂时不可用"}），避免暴露原始请求头和详情

方法2：添加自定义代理层 #

在Hasura与远程服务之间搭建代理，由代理处理错误响应：

• 代理负责转发请求至远程服务，当出现超时或错误时，直接返回屏蔽后的通用错误，不传递任何敏感头信息给Hasura
• 简化的Node.js代理示例：

const http = require('http');
const request = require('request');

http.createServer((req, res) => {
  const proxyReq = request('http://你的远程服务地址' + req.url);
  req.pipe(proxyReq);
  
  proxyReq.on('error', () => {
    res.writeHead(500, {'Content-Type': 'application/json'});
    res.end(JSON.stringify({error: '服务暂时无法访问'}));
  });
  
  proxyReq.pipe(res);
}).listen(3000);

之后将Hasura的远程Schema地址指向该代理即可。

方法3：关闭开发模式环境变量 #

设置环境变量HASURA_GRAPHQL_DEV_MODE为false：

• 该变量控制错误响应是否包含调试级详情，关闭后Hasura会返回通用错误，不再暴露请求头、内部转发信息等敏感内容
• 部署时在配置中添加HASURA_GRAPHQL_DEV_MODE=false即可生效

方法4：利用自定义错误钩子（Cloud/Enterprise版本） #

如果使用Hasura Cloud或Enterprise版本，可通过Webhook拦截错误：

• 配置错误事件触发的Webhook，当远程Schema出现错误时，由Webhook返回经过处理的屏蔽错误，替代Hasura默认的错误响应

内容的提问来源于stack exchange，提问作者meds