| 配置面 | 自省开关、 playground 暴露、字段级授权 |
|---|---|
| 防护面 | 深度限制、复杂度限制、批量大小、限速 |
| 检查 | 只做配置与限制验证，不做数据抽取 |
核查要点
核查要点
1. 检查自省是否开启（生产建议关闭或鉴权）
2. 提交深层嵌套查询观察是否被深度限制拦截
3. 提交多操作批量请求观察批量限制
4. 记录：端点、配置现象、限制缺失项字段级授权是 GraphQL 常见盲区：越权问题要在 schema 层面按对象/字段核查。
GraphQL 安全配置检查
GraphQL 常见问题：自省开启、无查询深度/复杂度限制、批量查询缺乏限速；检查配置与滥用防护是否到位。
易错点
- 用自省结果做全面字段枚举测试，偏离授权范围
- 只测深度限制，漏掉批量与复杂度限制
数据来源与参考
- GraphQL 官方文档（Security）
- OWASP API Security Top 10