Meteor.methods与安全

Question

假设我有一个Meteor.method addCredits(user, amount)，它将指定的学分添加到用户帐户中。那么，是什么阻止潜在的黑客仅仅扫描源代码，找到方法，然后从客户端控制台调用它呢？

Answer 1

没有什么能阻止黑客这么做。在该方法中，您必须检查用户是否做了允许他调用该方法的事情。

Answer 2

确保用户仅通过检查服务器上的方法中的this.userId来执行允许执行的方法。当用户登录并在所有方法中可用时，就会设置该id。如果没有用户登录，this.userId等于方法中的null。

用户帐户的管理和将userId与连接相关联是通过使用帐户系统来处理的，例如使用包“account -base”和“account-password”。帐户系统被记录为这里。

this.userId被记录为这里。

如何限制方法执行的一个例子是这里。