GraphQL 安全模块

GraphQL API 安全完整知识体系。

前置：API 安全概论
标签：graphql introspection bola dos csrf

---

文章目录

• GraphQL 安全概论 — 概念、威胁模型、风险初筛
• GraphQL 内省与 Schema 泄露 — schema 内省泄露
• GraphQL 字段建议泄露 — 字段建议与错误枚举
• GraphQL 批量查询拒绝服务 — 批量查询 DoS
• GraphQL 嵌套深度限制绕过 — 深度限制绕过
• GraphQL 别名滥用 — alias 批量读取
• GraphQL 自定义指令滥用 — 自定义指令滥用
• GraphQL 对象级越权（BOLA/IDOR） — BOLA / IDOR
• GraphQL 注入攻击 — SQLi / NoSQLi
• GraphQL CSRF 与 GET 查询风险 — GET 查询 CSRF
• GraphQL Subscription 安全 — WebSocket 订阅安全
• GraphQL 文件上传风险 — multipart 上传
• GraphQL 安全案例 — 公开案例与规律
• GraphQL 缓解与工程实践 — 缓解与工程实践
• GraphQL 参考文献 — 参考文献

---

目录树

graphql
│
├── 00-intro
├── introspection
├── field-suggestion-leak
├── batch-query-dos
├── depth-limit-bypass
├── alias-abuse
├── directive-abuse
├── bola-graphql
├── injection-attacks
├── csrf-graphql
├── subscription-security
├── file-upload-graphql
├── cases
├── mitigation
└── references

---

返回 Web 漏洞