GraphQL и REST: сравнение задач, затрат и прав доступа

Понимать запрос и его стоимость

Пример использует условную схему: customer, orders и total должны существовать в реальном API. Один запрос может вызвать несколько чтений на сервере. REST тоже допускает адаптированные ответы. Единая HTTP-точка характерна для GraphQL, но не обязательна для любой архитектуры.

query RecentOrders($id: ID!) {
  customer(id: $id) {
    name
    orders(first: 5) {
      nodes { id total }
    }
  }
}

Сравнивать типовую задачу

• Измеряйте байты, задержки, ошибки и серверную работу для одинакового экрана, прав и реалистичных объёмов.
• Проверьте пагинацию, пакетные чтения против N+1, кэширование и разделение данных учётных записей.
• Оцените развитие схемы, совместимость старых клиентов и эксплуатацию. Сохранить REST может быть проще.

Применять права и ограничения нагрузки

Аутентифицируйте запросы и проверяйте права на объекты и поля в бизнес-логике. Ограничивайте списки, глубину, псевдонимы, пакетные операции и расчётную стоимость. Частота запросов не описывает всю нагрузку. Скрытие интроспекции не заменяет контроль; тестируйте отказы и частичные ответы.

Первоисточники

• GraphQL — Learn [EN]
• GraphQL — Performance [EN]
• GraphQL — Security [EN]