construction fails for depth around > 200 / resource exhaustion?

未关闭

#216 创建于 2024年3月17日 11 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 5/5
预计耗时: 一周以上
新手友好度: 35/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 活跃
技术栈: graphql, python
领域: api, security

调研方向

首先定位 GraphQL 请求/输入树的递归生成逻辑，以及 issue 中提到的深层请求构造测试。使用超过 200 的深度重现递归失败，然后评估迭代式或基于生成器的方法，以及节点数量限制。深层或超大图能够安全地以明确错误失败，而不是耗尽资源，即视为完成。

由索引模型根据 Issue 内容生成。

描述

Reporting issues with GraphQL-core 3

In my tests the construction of a deep request tree fails with recursion problems.
The problem is a recursive approach in the generation of the graphql request tree (this is why I created the test).

Next to denial of service it is most probably possible to cause resource exhaustion attacks by passing big graphs.

There should be two changes:

a "stack free" (not really stack free but the recursion depth is drastically reduced) approach in generating the input graph. I did something with generators in my project: graphene-protector:
https://github.com/devkral/graphene-protector
a node limit after which the generation of the input graph is stopped with an error

I am not sure if the cost spec ( https://ibm.github.io/graphql-specs/cost-spec.html ) can fix this. The changes must take place while generating the requested input graph

主要语言: Python
星标: 531
派生: 147
PR 合并指标: 30 天内没有已合并 PR

贡献指南

这个仓库没有索引到贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

graphql-python/graphql-core 的其他 Issue

Incremental delivery: experimental_execute_incrementally hangs (never terminates) on some invalid @stream queries 未关闭

难度 4/5 3-5 天新手友好度 50/100

graphql-python/graphql-core#272 · 1 条评论 · 2026年7月13日创建
`RuntimeWarning: coroutine 'ExecutionContext.execute_fields.<locals>.resolve' was never awaited` on 3.3.0a11 未关闭

难度 3/5 1-2 天新手友好度 55/100

graphql-python/graphql-core#269 · 1 条评论 · 2026年6月12日创建
Publish a major version 未关闭

难度 5/5 一周以上新手友好度 35/100

graphql-python/graphql-core#267 · 1 条评论 · 2026年6月5日创建
Split benchmarks into warm and cold benchmarks 未关闭

难度 3/5 1-2 天新手友好度 45/100

graphql-python/graphql-core#257 · 2026年1月8日创建
State of defer in 3.3.0a3 and compatibility with latest spec 未关闭

难度 5/5 一周以上新手友好度 25/100

graphql-python/graphql-core#247 · 8 条评论 · 2025年11月13日创建

查看 graphql-python/graphql-core 的全部 Issue

相似的 Issue

slack-gif-creator: validate_gif() multiplies the last frame's duration by the frame count, so reported duration/fps are wrong (1.0s GIF reported as 1.8s) 未关闭

难度 2/5 1-3 小时新手友好度 75/100

anthropics/skills#1811 · 1 条评论 · 2026年9月23日创建
App fails to start with gradio 6 (allowed by `gradio>=5.49.1`) 未关闭

难度 2/5 1-3 小时新手友好度 75/100

speaches-ai/speaches#678 · 2026年9月23日创建
ModuleNotFoundError: No module named 'mcp.server.fastmcp'. 未关闭

bug

难度 2/5 1-3 小时新手友好度 75/100

datalayer/mcp-compose#42 · 2026年9月23日创建
import spacy fails with ModuleNotFoundError: No module named 'click' 未关闭

难度 2/5 1-3 小时新手友好度 75/100

conda-forge/spacy-feedstock#177 · 2026年9月23日创建
humaneval: extract_function_body corrupts a fenced body-only reply, so the same correct code scores INCORRECT fenced and CORRECT unfenced 未关闭

难度 2/5 1-3 小时新手友好度 70/100

UKGovernmentBEIS/inspect_evals#2523 · 2026年9月23日创建

更多 Python Issue