如何使Blaze（Meteor的模板引擎的独立部分）使用动态下载的模板

Question

我正在使用独立的Blaze进行动态渲染的模板。到目前为止，我对它的大部分都很满意，它能够快速完成细粒度的dom更新非常棒。

我在哪里想到如何处理这种情况，我通过ajax下载了一个模板，并且需要进行解析才能将其注入到我的前端。

我之所以这么做，是因为我不希望我的SPA的部分模板需要身份验证才能下载，直到适当的用户登录为止。例如，管理员页面永远不会为普通用户下载。

不要打扰告诉我我在做安全性错误，我已经对每个API请求都使用零信任模型，但我想要的是另一种方式的零信任模型，如果您不是通过身份验证，您甚至不会看到该模板。

Answer 1

我遇到了一个可能的替代解决方案，让问题有点侧面。

我的问题是，我不希望管理员页面和其他模板在dom检查器中可见。我宁愿不加载它们，但我还没有解决这个问题。

但是我发现的是，一旦Blaze加载模板，您可以从dom中删除实际的模板代码，并且blaze仍然会正确渲染它们。

这至少让我混淆了那些东西。一个有进取精神的黑客通过监控网络流量仍然能够获得这些模板，但至少他们没有公开。

使用此方法的正确安全性仍需要缩小和混淆客户端代码，最好通过服务器上的ACL进行保护，并调用一个使用某种形式的ACL验证的API。