流星中的安全方法

Question

我在用流星做一个消息应用程序。出于安全原因，我禁用了从客户端调用的任何插入/更新/删除。现在插入消息的唯一方法是使用方法。

Meteor.methods({
  sendMessage: function (text) {
    Messages.insert({ userId: Meteor.userId(), roomId: Rooms.findOne()._id, name: Meteor.users.find(Meteor.userId()).fetch()[0].profile.name , message: text });
  }
});

如果是这种情况，我将不得不在函数上包含额外的参数，这将使它更加不安全。

我可能不明白这里的方法。

Answer 1

你在正确的轨道上。使用rooms.findone()在服务器上肯定没有意义，坦率地说，在客户端上也没有那么好（如果您发布了更多的一个房间，这将会破坏）。您需要将消息和房间id都传递给您的方法。该方法应验证插入是否有意义。例如，此用户当前是否在房间中。假设在room.members中跟踪，则SendMessage可以按以下方式实现：

Meteor.methods({
  sendMessage: function(message, roomId) {
    check(message, String);
    check(roomId, String);

    if (!this.user)
      throw new Meteor.Error(401, 'You must be logged in.');

    if (_.isEmpty(message))
      throw new Meteor.Error(403, 'Message must not be empty.');

    var room = Rooms.findOne(roomId);

    if (!room)
      throw new Meteor.Error(404, 'Room not found.');

    if (!_.contains(room.members, this.userId))
      throw new Meteor.Error(403, 'You are not in the room.');

    var name = Meteor.user().profile.name;

    return Messages.insert({
      userId: this.userId,
      roomId: roomId,
      name: name,
      message: message
    });
  }
});

并非所有这些检查都是必要的，但是这个示例应该让您了解一个方法可以提供的丰富的验证集。