Meteor中客户端集合的安全性如何？

Question

如果移除不安全的软件包，Meteor客户端集合的安全性如何？
如果我存储用于连接到客户端集合中的外部资源的认证数据是否安全？

Answer 1

insecure是一个软件包，它只是允许任何用户对数据库进行几乎任何类型的操作而无需验证（因此它的名称）。它应该绝对是永不在生产中使用，其主要用于快速原型应用程序，而不必担心服务器验证。如果您准备好继续开发应用程序，请将其删除。

您还必须考虑客户端收藏是您可以想象的最肮脏的地方。不要相信客户向你发送或做的任何事情，确认一切。如果您必须将验证数据存储在客户端上，请确保一个客户端无法访问另一个客户端的明智数据。

Answer 2

存储在客户端集合（或甚至订阅）中的数据以及存储在会话中的数据主要容易受到XSS的影响。推测你的网站是https，因为没有它的话，这个账户包是不安全的。

如果您的客户正在对外部资源（第三方站点）进行身份验证请求，那么您的任何用户都可以通过检查浏览器中的网络请求来确定您的凭据是什么。