GraphQL: интроспекция включена, безопасность — нет
GraphQL: интроспекция включена, безопасность — нет «GraphQL продали как «более безопасную альтернативу REST». Реальность: это тот же REST, только теперь с бесплатной картой всего API прямо на входе.» 💀 Introspection — фича, которая позволяет клиенту запросить у сервера полную схему: все типы, поля, аргументы, мутации. Отлично для разработки, автокомплита в IDE. Ужасно, если включена в проде без ограничений — потому что ты просто отдаёшь атакующему blueprint своего бэкенда за один запрос. Подробнее: https://timpentest.ru/graphql-introspekcziya-vklyuchena-bezopasnost-net/
54 просмотров