graphql security

Введение: GraphQL GraphQL часто представляют как революционно новый путь осмысления API. Вместо работы с жёстко определёнными на сервере конечными точками (endpoints) вы можете с помощью одного запроса получить именно те данные, которые вам нужны. И да – GraphQL гибок при внедрении в...

Когда берёшь в работу очередной API-пентест, первый вопрос должен быть - не «какой сканер запустить», а «как устроена логика этого сервиса». Сканер DAST найдёт отсутствие заголовков безопасности и открытый debug-эндпоинт. Но он не поймёт, что GET /api/v1/orders/1337 отдаёт чужой заказ, если...

С rate limiting обычно знакомятся в довольно скучный момент - когда кто-то внезапно начинает долбить API не так, как задумывал разработчик. Где-то это упирается в перебор логина, где-то в слишком бодрый клиент, где-то в тяжёлый GraphQL-запрос, который сам по себе всего один, а по факту съедает...

API - это не просто технический интерфейс между фронтендом и бекендом. На сегодня API стал основным вектором атаки: приложения двигаются в сторону микросервисов, мобильных фронтов, третьих сторон и интеграций - и все это чаще всего через API. REST остался базой, но GraphQL и gRPC - это уже не...