为什么在客户端编写 GraphQL 查询是安全的？

Question

GraphQL 最近发布，它似乎鼓励在客户端编写您的查询。

1. 是什么使得在客户端编写 GraphQL 查询而不是 SQL 查询是安全的？
2. GraphQL 不受注入的影响吗？
3. 如果让您的查询在客户端非常有用，为什么不制作一个不受注入影响的 SQL 版本？

Answer 1

由于在 slack 频道中回答的用户没有回答，我将发布他们的答案。

1. GraphQL 查询根据明确构建的架构进行验证，以向客户端公开数据。 SQL 不会根据数据库架构结构以外的任何内容验证您的查询。
2. 理论上，您的 GraphQL 端点有某种安全措施来验证用户是否可以在查询的起点查询数据。一旦它们进入基于 Graph 的架构中，权限就是 graphQL 架构定义所固有的，并且注入不会完成任何事情。
3. 制作不受注入影响的 SQL 版本将涉及与 GraphQL 相同的一些验证。允许所有请求的数据/突变的某种验证。正如聊天中所引用的，“注入不是 SQL 固有的问题”。

charlie 和 samwgoldman 的答案来自 GraphQL/#general Slack 聊天。