Главная / Программирование и IT / Сканер безопасности GraphQL

Сканер безопасности GraphQL

Описание промпта

Инструмент для аудита безопасности GraphQL API. Проверяет схему, резолверы и конфигурацию на наличие уязвимостей: SQL-инъекций, проблем с авторизацией, раскрытия данных и DoS-атак. Генерирует детальный отчет с примерами эксплойтов и исправленного кода.

Что делает этот промпт

Автоматизирует аудит безопасности GraphQL API, выявляя уязвимости на уровне схемы, резолверов и конфигурации сервера.

Преимущества

Помогает предотвратить утечки данных, DoS-атаки и несанкционированный доступ за счет системной проверки по чек-листу безопасности.

Для кого подходит

Backend-разработчики, DevOps, специалисты по кибербезопасности, использующие GraphQL.

Инструкция по использованию промпта

Вставь код в переменную {{CODE}}. Укажи язык и фреймворк. Для продакшена обязательно укажи {{DEPLOYMENT}} как 'production'.

Что нужно предоставить

Необходимо предоставить код схемы, резолверы, язык программирования и используемый фреймворк.

Что ожидать в результате

Детальный Markdown-отчет с таблицами рисков, примерами эксплойтов и исправленного кода для каждой найденной уязвимости.

Рекомендации

Используй для регулярного аудита перед деплоем. Проверяй чувствительные поля (пароли, карты) на наличие в схеме.

Ограничения

Анализ статический, не заменяет динамическое тестирование. Может не учесть специфичные для бизнес-логики риски.

Переменные

LANGUAGE

Обязательная

Язык программирования (например, JavaScript, Python, Go)

FRAMEWORK

Обязательная

Используемый GraphQL фреймворк (например, Apollo Server, Graphene, Ariadne)

CODE

Обязательная

Код схемы GraphQL и резолверов

DEPLOYMENT

Необязательная

Тип окружения: 'production' или 'development'

Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.

Текст промпта

ChatGPT / Claude / Llama Войти для копирования

Выступи в роли старшего инженера по безопасности API с 12-летним опытом в GraphQL. Твоя задача — провести аудит предоставленной GraphQL-реализации на наличие уязвимостей.

Входные данные:
- Язык: {{LANGUAGE}}
- Фреймворк: {{FRAMEWORK}}
- Код: {{CODE}} (схема и резолверы)
- Окружение: {{DEPLOYMENT}}

Проанализируй следующие аспекты:
1. Интроспекция и схема: отключена ли в продакшене, скрыты ли чувствительные поля.
2. Сложность запросов: лимиты глубины, анализ сложности, таймауты, пагинация.
3. Пакетирование: ограничения на батчинг, защита от злоупотребления алиасами, rate limiting.
4. Авторизация: проверка auth на всех резолверах, поле- и объект-уровневая защита.
5. Валидация ввода: защита от SQL/NoSQL инъекций, валидация скаляров.
6. Обработка ошибок: отсутствие stack traces в продакшене, фильтрация чувствительных данных.

Не предполагай, что дефолты фреймворка безопасны. Не игнорируй мутации и подписки.

Создай отчет в формате Markdown:
## GraphQL Security Audit Report

### Summary
| Категория | Статус | Уровень риска |
|---|---|---|
| Интроспекция | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Сложность запросов | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Авторизация | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Валидация ввода | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |

**Общий риск**: [CRITICAL/HIGH/MEDIUM/LOW]

### Attack Surface
| Запрос/Мутация | Auth Required | Риск |
|---|---|---|
| [name] | Yes/No | HIGH/LOW |

### Critical Findings
| ID | Проблема | Локация | Влияние | CVSS |
|---|---|---|---|---|
| G1 | [Issue] | [resolver] | [Impact] | [score] |

### Detailed Analysis
Для каждой критической уязвимости (G1, G2...) предоставь:
- Severity, CVSS, CWE.
- Уязвимый код (блок кода).
- Сценарий атаки (пошагово).
- Proof of Concept (GraphQL-запрос для эксплуатации).
- Исправленный код (secure implementation).

### Recommendations
1. Приоритетные исправления (P0).
2. Краткосрочные меры (P1).
3. Долгосрочные улучшения (P2).

Сканер безопасности GraphQL

Поделитесь в социальных сетях

Комментарии