GraphQLVì client tự quyết định shape truy vấn, một truy vấn lồng sâu qua quan hệ hai chiều có thể tăng khối lượng theo cấp số nhân và làm quá tải server chỉ với một yêu cầu.
Ví dụ kinh điển: bài viết có tác giả, tác giả có danh sách bài viết, mỗi bài lại có tác giả. Lồng mười tầng là một truy vấn ngắn nhưng có thể tạo hàng triệu lượt giải quyết field.
Các biện pháp nên áp dụng cùng nhau: giới hạn Depth; tính điểm chi phí theo số field và số record ước lượng rồi chặn khi vượt ngưỡng; bắt buộc tham số giới hạn cho mọi field danh sách; rate limit theo điểm đã dùng; và đặt thời gian chờ thực thi.
Với API chỉ phục vụ client của mình, allowlist là biện pháp mạnh và đơn giản hơn: server chỉ chấp nhận truy vấn đã đăng ký lúc build.