Всем привет!
GraphQL Cop – open-source утилита, которая позволяет выявлять ИБ-дефекты при работе с GraphQL API.
С её помощью можно протестировать API еще до того, как он попадёт в среду эксплуатации.
Грубо говоря, набор скриптов, которые идентифицируют ИБ-дефекты и которые можно встроить, например, в конвейер непрерывной сборки.
Она поддерживает следующий набор тестов:
🍭 Batch Queries (DoS)
🍭 POST based Queries using urlencoded payloads (CSRF)
🍭 Field Suggestions (Info Leak)
🍭 Directives Overloading (DoS)
🍭 Mutation support over GET methods (CSRF) и не только
Утилита является небольшим Python-приложением, проста в установке. Возможен вариант с запуском через Docker-контейнер.
Из приятного – на выходе она предоставляет, в том числе,
cURL-команду, которую можно использовать для воспроизведения теста локально.