GraphQL入門+診断観点
0 likes39 views
GraphQLのセキュリティについて社内で発表した際の資料です。 本資料は、作成者の勉強の一環として調査・検証したものになります。間違った解釈をしている場合は、ご指摘いただければ幸いです。
GraphQL入門+診断観点
- 4. 目次 ● はじめに ● GraphQLとは ● GraphQLのフォーマット ● GraphQLのセキュリティ ● 診断観点 ● 対象数に関する注意点
- 5. GrahpQLとは
- 6. GraphQLとは データにアクセスするための問い合わせ用の言語。 DBの制限などは特にない。 様々なプログラミング言語でライブラリが提供されて いるため、言語の縛りも余程の事がない限り問題がな い。
- 7. GraphQLの注目度 ● Facebookが2012年から開発 ● サーバサイドのWebAPI技術 ● 2015年にオープンソース化
- 9. GraphQLの特徴 ● 独自のクエリ言語を使用 ● 単一のエンドポイント ● 強力な型システム ● スキーマからドキュメントを生成できる
- 10. GraphQLを使用するモチベーション 複数のHTTPリクエストを行わないと画面を描画できな い場合など GraphQLの場合、利用者が欲しいデータをクエリに記述 することで、少ない回数で取得できる。
- 18. スカラー型 デフォルトで定義されている型。以下の5つが存在する。 ● Int ● Float ● String ● Boolean ● ID
- 21. GrahpQLのフォーマット
- 22. 基本 GraphQLのエンドポイントは基本的に /graphql データの取得は query クエリタイプ。 データの変更は mutation クエリタイプ。(削除も含む) エンドポイントやクエリタイプは、変更可能だが基本 的に変わらない事が多い。
- 23. データの取得 例
- 24. HTTPリクエスト
- 25. HTTPレスポンス
- 26. フォーマット 右図はリクエスト例
- 30. Field 右図の例だとid:cGVvcGxlOjE=に紐づ くオブジェクト型Personのidとname フィールドを取得してくる フィールドを分ける事で、複数のオ ブジェクトを取得することもできる
- 31. 複数オブジェクトの取得例
- 34. Aliases(エイリアス)
- 38. バリアブル(変数)
- 41. GraphQLのセキュリティ
- 44. バリデーション デフォルトのスカラータイプ - Int: 符号付き32ビット整数 - Float: 符号付き倍精度浮動小数点値 - String：UTF-8の文字シーケンス。 - Boolean：trueまたはfalse。
- 49. 診断観点
- 50. GraphQLを診断する上での注意点 ● スキーマがあると検査がしやすい。 ○ 無くても検査は可能。 ● 独自のフォーマットなので、 GraphQLに対応したスキャナーが必要。 ○ Burpだといくつかプラグインが存在する
- 51. 認証や権限 前述した通り、GraphQLには認証や権限に関する仕様が ない。 認証部分は、従来のWebアプリ診断と同様に確認する必 要がある。 ● セッションに関する処理 ● 認証に関する処理 ● CSRF
- 60. ご清聴ありがとうございました！