Современный graphql на бекенде и фронтенде. Тестирование, секьюрити, новые возможности
Download as PPTX, PDF0 likes273 views
Документ описывает современный подход к использованию GraphQL на фронтенде и бекенде, подчеркивая его преимущества перед REST, включая гибкость в запросах и возможность работы с несколькими источниками данных одновременно. Также рассматриваются методы тестирования, безопасности и новые возможности, в основном сосредотачиваясь на потребностях клиента и функциональности современного пользовательского интерфейса. Приведены примеры кода и стратегии для управления запросами и структурой данных в GraphQL.
![Graphql модели
const Role = `
type Role {
id: Int!
name: String!
permissions(first: PaginationAmount, after: String, filter: RolePermissionFilter): PermissionPaginated! @cost(multipliers: ["first"], complexity: 2)
}
`;
module.exports = Role;](https://image.slidesharecdn.com/madtalks12018-180927073121/85/graphql-8-320.jpg)
![GraphQL Security
Принцип белого листа возможных легитимных запросов
Используется библиотека persistgraphql
{
"scripts": {
"postbuild": "persistgraphql src api/query-whitelist.json"
}
}
if (!whitelist[query]) {
throw new Error('Query is not in whitelist.');
}](https://image.slidesharecdn.com/madtalks12018-180927073121/85/graphql-28-320.jpg)
Современный graphql на бекенде и фронтенде. Тестирование, секьюрити, новые возможности
- 1. Mad Talks #1 2018 Современный graphql на бекенде и фронтенде. Тестирование, секьюрити, новые возможности Александр Вишняков и Улукбек Джунусов
- 2. Что такое graphql сейчас? ● Это фронтенд ориентированный интерфейс ● Не уступает REST ● Гибкость в получении данных (YAGNI) https://ru.wikipedia.org/wiki/YAGNI ● Возможность разграничивать доступ на уровне вложенных запросов (реализуется в каждом случае по разному) пока нет встроенного механизма. ● Возможность производить несколько запросов различных не связанных данных в одном HTTP запросе! (с REST такого не получится) ● Большинство нововведений коснулись фронтенд части! (и это правильно! Клиент сейчас становится многофункциональным).
- 3. REST недостатки :( ● REST - сложно указывать бекенду, что нужно включить ● в ответ, а что нет. ● Можно использовать нестандартный параметр ( json-server ) /users?_extends=role ● Разные схемы построения запросов (Flat rest, Long train rest) ● Flat rest - /resource или /resource/:id ● Long train rest - /user/1/favorites/1/detail или /posts/1/comments/1/likes/1/description…. Ту ту ту ту ту
- 6. GraphQL resolvers Это основа всех запросов в Graphql - при помощи резолверов, извлекаются данные из БД и передаются пользователю
- 7. Scalar Types Int, String и так далее… Но можно создать собственные и тоже так же через резолверы объявить
- 8. Graphql модели const Role = ` type Role { id: Int! name: String! permissions(first: PaginationAmount, after: String, filter: RolePermissionFilter): PermissionPaginated! @cost(multipliers: ["first"], complexity: 2) } `; module.exports = Role;
- 9. Graphql Input types const UpdateUser = ` input UpdateUser { id: Int! patch: CreateUser } `; module.exports = UpdateUser; updateUser(input: UpdateUser!): UserEdgeconst CreateUser = ` input CreateUser { name: String email: String roleId: Int password: String } `; module.exports = CreateUser;
- 10. GraphQL model = Уровень презентации (Presentation Layer) ● Модели graphql отличаются от моделей в БД ● При помощи резолверов можно объединять данные вместе ● Выдавать данные в понятной и удобной форме ● Ограничивать поля видимые пользователю (при этом не нужно использовать какие либо мапперы для удаления)
- 11. GraphQL модель = разделяй и властвуй ● Древовидная структура зависимостей модели. ● Отсутствие толстых/перегруженных моделей. ● Возможность разграничивать доступы на каждую вложенную зависимость модели. (будь это профиль пользователя или его фин. данные и т.д.)
- 12. Тестирование npm test ● Я использую supertest + jest для интеграционных тестов или e2e тестов ● Запуск тестов производится параллельно ● Для каждого Jest worker’a создается своя sqlite база данных. ● Для каждого Jest worker’a поднимается инстанс сервера на рандомном порту. ● Перед каждым тестом очищаются данные в БД.
- 13. Тестирование npm test Структура папки с тестами: Envs - кастомное окружение для поднятия сервера Expectations - вынесены проверки с использованием expect.objectContaining Factories - папка с фабриками для создания той или иной сущности в БД с использованием faker.js. Mutations/Queries - объявления запросов и мутаций
- 14. Тестирование npm test Фабрика для создания одиночной сущности User
- 15. Тестирование npm test ● Фабрика для создания нескольких сущностей User ● Задействуется фабрика для создания одиночной сущности User
- 16. Тестирование npm test Пример из папки expectations При этом в ответе могут содержаться другие поля (locations) и так далее, но expect.objectContaining позволяет проверить только нужные поля и их контент, expect.arrayContaining позволяет пройтись по массиву объектов и выполнить проверки для каждого объекта в массиве
- 18. Тестирование npm test Пример очистки БД с использованием средств Sequelize ORM
- 19. GraphQL Security ● Что ожидает тех кто связался с graphql ○ В основном это различного вида DDoS (отказ в обслуживании) ● Как достигается? ○ Отправкой серверу данных огромного размера ○ Создание запросов заставляющих вернуть огромное кол-во данных (что занимает значительные ресурсы сервера). Манипуляция параметрами пагинации. ○ Запросы с большой вложенностью (путем рекурсивного обращения к зависимостям)
- 20. GraphQL Security ● Как бороться? ○ Проверка длины входного запроса и в случае превышения лимита не передавать его на парсинг. this.app.use('*', this.queryLengthLimiter);
- 21. GraphQL Security Проверкой глубины вложенности npm пакет graphql-depth-limit const depthLimit = require('graphql-depth-limit');
- 22. GraphQL Security
- 23. GraphQL Security С использованием пакета graphql-cost-analysis для анализа веса запроса const costAnalysis = require('graphql-cost-analysis').default;
- 24. GraphQL Security
- 25. GraphQL Security
- 26. GraphQL Security Использовать Custom Scalar Types для установки лимитов при валидации параметров запроса (пагинация)
- 27. GraphQL Security С использованием пакета graphql-input-number
- 28. GraphQL Security Принцип белого листа возможных легитимных запросов Используется библиотека persistgraphql { "scripts": { "postbuild": "persistgraphql src api/query-whitelist.json" } } if (!whitelist[query]) { throw new Error('Query is not in whitelist.'); }
- 29. GraphQL Security {"query getUserById($id: Int!) {n user(id: $id) {n cursorn node {n idn namen emailn role {n idn namen }n }n }n}n":1}
- 30. Новые возможности В основном реализованы на клиенте и это верно, так как клиент более функционален чем бекенд в наше время. И тем более что все чаще приходят к BaaS, Serverless архитектуре. Это появление <Query>, <Mutation>, <Subscription> компонентов в react- apollo, которые теперь учитывают жизненный цикл реакт компонента и намного упрощают тестирование и запрос данных.
- 31. Вопросы?