GraphQLとREST：要件、費用、権限を比較する

リクエストと処理費用を理解する

例は架空のスキーマで、実際のAPIにはcustomer、orders、totalが必要です。一回のリクエストでもサーバー側では複数の読み取りが起こり得ます。RESTも用途別の応答を提供できます。単一のHTTPエンドポイントはGraphQLで一般的ですが、全構成の必須条件ではありません。

query RecentOrders($id: ID!) {
  customer(id: $id) {
    name
    orders(first: 5) {
      nodes { id total }
    }
  }
}

代表的な操作で比較する

• 同じ画面、権限、現実的なデータ量で、通信量、遅延、エラー、サーバー負荷を測ります。
• ページ分割、N+1を抑える一括読み取り、キャッシュ、アカウント間のデータ分離を確認します。
• スキーマ変更、旧クライアントとの互換性、運用負担を評価します。RESTを残す方が簡単な場合もあります。

権限と負荷の制限を実施する

認証後、業務ロジックでオブジェクトとフィールドを認可します。リスト長、深さ、別名、一括操作、推定費用を制限します。リクエスト頻度だけでは負荷を表せません。イントロスペクションを隠すだけでは代替できず、拒否と部分応答もテストします。

一次資料

• GraphQL — Learn [EN]
• GraphQL — Performance [EN]
• GraphQL — Security [EN]