GraphQL 安全测试

为什么需要专门的 GraphQL 安全测试

GraphQL 的灵活查询结构让它成为 API 设计的首选，但也带来了传统 REST 没有的攻击面。单一的 /graphql 端点允许客户端自由构造查询，这让内省滥用、批量请求放大、深层嵌套查询等 DoS 手段有了可乘之机。同时，字段级别的授权控制如果实现不当，很容易造成 IDOR 或越权数据泄露。很多团队在测试时只检查 HTTP 层的状态码，却忽略了查询结构本身可能存在的脆弱性。

这个技能做了什么

本技能提供一套结构化的 GraphQL 安全测试清单，按照攻击路径而非工具罗列来组织：

• 内省与字段枚举：验证 __schema 与 __type 是否被不当地暴露给未授权用户，检查错误信息中是否泄露了字段建议。
• 拒绝服务类测试：通过构造深层嵌套查询（query { a { b { c { d { e } } } } }）和大型批量请求（[{query1}, {query2}, ...]），评估服务端是否限制了 query depth 与 query complexity。
• 注入与授权绕过：在参数值中注入恶意 payload，检查输入是否被正确过滤；测试不同用户身份下的字段级访问控制，确认是否存在 IDOR 或角色绕过。

使用时，将完整方法论作为操作清单加载，按顺序执行每个技术点的检查，记录已完成项，并根据发现建议后续测试方向。

适用边界

• 本技能面向已有 GraphQL 端点的安全评估，不包含服务端代码审计或 schema 设计指导。
• 测试前需获得目标系统的授权，深度和复杂度测试可能影响服务可用性。
• 自动化工具的探测结果需结合人工分析确认，误报和漏报都可能存在。