Limitación de tasa y protección contra la profundidad de consultas
Proteja su API GraphQL de Spring Boot frente al abuso y la denegación de servicio limitando la frecuencia de las llamadas de los clientes y la profundidad de anidamiento de sus consultas.
Limitación de tasa y protección contra la profundidad de consultas es una lección gratuita de GraphQL APIs with Spring Boot en CoddyKit. Esta es la lección 4 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de GraphQL APIs with Spring Boot, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de GraphQL APIs with Spring Boot incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
Why GraphQL Needs Protection
A single GraphQL endpoint accepts arbitrarily complex queries. A malicious or careless client can request deeply nested data or hammer the server, exhausting resources.
Rate limiting and depth protection defend against these attacks.
The Nested Query Threat
Because GraphQL allows cyclic relationships, a client could ask for an author's books, each book's author, that author's books, and so on. This recursion can balloon into an enormous, expensive query.
query {
author {
books { author { books { author { name } } } }
}
}Limiting Query Depth
graphql-java provides MaxQueryDepthInstrumentation, which rejects any query that nests deeper than a set limit before execution begins.
@Bean
public Instrumentation depthLimit() {
return new MaxQueryDepthInstrumentation(10);
}Limiting Field Count
Beyond depth, a broad query can request thousands of fields. MaxQueryComplexityInstrumentation caps the total complexity score of a query.
@Bean
public Instrumentation complexityLimit() {
return new MaxQueryComplexityInstrumentation(200);
}What Is Rate Limiting?
Rate limiting caps how many requests a client may make in a time window. It prevents abuse and ensures fair resource sharing across clients.
The Token Bucket Idea
A common algorithm is the token bucket: each client has a bucket that refills at a steady rate. Every request consumes a token; if the bucket is empty, the request is rejected.
Rate Limiting with Bucket4j
The bucket4j library implements token buckets in Java. Configure a bucket with a refill rate and capacity.
Bandwidth limit = Bandwidth.simple(100, Duration.ofMinutes(1));
Bucket bucket = Bucket.builder().addLimit(limit).build();Enforcing the Limit
Before processing a request, try to consume a token. If none is available, return an error instead of executing the query.
if (!bucket.tryConsume(1)) {
throw new RateLimitException("Too many requests");
}Per-Client Buckets
Track a separate bucket per client, keyed by API key or authenticated user ID, so one heavy client cannot starve everyone else.
Bucket bucket = buckets.computeIfAbsent(userId, k -> newBucket());Combining Defenses
Layer your protections for full coverage:
- Depth limit stops recursive abuse
- Complexity limit stops broad expensive queries
- Rate limit stops request floods
- Timeouts stop slow runaway operations
Best Practices
Tune limits to your real traffic:
- Start strict, then relax based on monitoring
- Return clear errors so clients can back off
- Apply tighter limits to unauthenticated traffic
- Log rejected queries to spot abuse patterns
Quick Check
Test your API protection knowledge.
Recap
You hardened your GraphQL API:
- Depth and complexity instrumentation block expensive queries
- Rate limiting caps request frequency per client
- Token buckets (bucket4j) implement fair limits
- Layer depth, complexity, rate, and timeout defenses
These guards keep your API available and resilient under abuse.
Aprende GraphQL APIs with Spring Boot con un tutor de IA — gratis
Escribe y ejecuta código real en tu navegador, obtén ayuda instantánea de un tutor de IA disponible 24/7 y continúa donde lo dejaste en la web o en la aplicación.
- Cursos
- 12
- Lecciones
- 48
Preguntas frecuentes
¿La lección «Limitación de tasa y protección contra la profundidad de consultas» es gratis?
Sí — el texto completo de «Limitación de tasa y protección contra la profundidad de consultas» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de GraphQL APIs with Spring Boot, actualiza a CoddyKit PRO. El curso de GraphQL APIs with Spring Boot incluye 4 lecciones en total.
¿Qué aprenderé en «Limitación de tasa y protección contra la profundidad de consultas»?
Proteja su API GraphQL de Spring Boot frente al abuso y la denegación de servicio limitando la frecuencia de las llamadas de los clientes y la profundidad de anidamiento de sus consultas. Practicas GraphQL APIs with Spring Boot con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar GraphQL APIs with Spring Boot?
No se requiere experiencia previa. GraphQL APIs with Spring Boot en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 4 de 4.
¿Cuánto tiempo toma la lección «Limitación de tasa y protección contra la profundidad de consultas»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de GraphQL APIs with Spring Boot?
Sí. Cada lección de GraphQL APIs with Spring Boot incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Gestión personalizada de errores en GraphQL
- Autenticación con Spring Security
- Autorización con directivas y contexto
- Limitación de tasa y protección contra la profundidad de consultas