機密性の高いフィールドはAPIから返さない

[kiy0taka]

以下のDBカラムを返さないように修正

• dtb_base_info.authentication_key
• dtb_customer.password
• dtb_customer.reset_key
• dtb_customer.salt
• dtb_customer.secret_key
• dtb_member.password
• dtb_menber.salt
  パスワード/ソルト/リセットキーのカラムを隠す #4

[okazy]

コメントしました。

[okazy]

上げていけばキリがないのですが、、、
Customer::class の reset_key と BaseInfo::class の authentication_key も制限しておいた方がいいのではないでしょうか。
reset_key があれば勝手にパスワード変更可能かと思います。

[okazy]

機密性の高いfieldが取得できなくなっていることを確認しました。

request

query getOrders {
  customers {
    id
    name01
    password
  }
  orders {
    id
    Customer{
      id
      name01
      password
    }
}

response

{
  "errors": [
    {
      "message": "Cannot query field \"password\" on type \"Customer\".",
      "extensions": {
        "category": "graphql"
      },
      "locations": [
        {
          "line": 11,
          "column": 5
        }
      ]
    },
    {
      "message": "Cannot query field \"password\" on type \"Customer\".",
      "extensions": {
        "category": "graphql"
      },
      "locations": [
        {
          "line": 23,
          "column": 7
        }
      ]
    }
  ]
}