1
關於我在 Glints 找到的高風險漏洞 (tech-blog.cymetrics.io)
gugod 積分 2 編輯於

直接把 graphql api endpoint 接到公開站的這種做法... 對我而言還真是看不習慣。先假設 ACL 也一併做得夠好的話,對於前後端開發人員來說似乎是能省下在開發階段定義各 API 規格的時間。

不過只要 ACL 沒能弄好,或是讓人找到 root 帳號,就等於是資料外洩了。似乎少了防守的一些手段。