swift - 允许我的客户查询我的后端是否不好？

Question

我正在编写一个使用parse-server(由heroku托管)的应用程序。该应用程序非常复杂，需要对对象、 map 、用户、消息、评论等进行数据库查询...提取的大量信息由客户端中的函数处理，如下所示:

let query = PFQuery(className: "Example")
query.whereKey("Name", equalTo: "Value")
query.findObjectsInBacgkround(block: { (objects, error) in
   //do stuff
})

这是非常通用的，但该结构在整个应用程序(位于客户端中)中使用，以从数据库中调用对象。我的问题很简单:这是一个坏主意吗？让客户端查询服务器是一个坏主意吗？我问这个问题是因为有人发表了评论，建议应该避免这种情况，因为有人基本上可以反编译我的应用程序，然后在修改查询后调用服务器以获取他们想要的任何信息。所有对象都有一个 ACL，理论上可以防止以这种方式提取敏感信息。我当然可以理解这个问题，但我很好奇为什么我没有看到这种情绪在堆栈或互联网上关于这种客户端到服务器查询的问题中得到回响？

Answer 1

有人反编译你的代码来查询你的数据库不应该是你担心的事情之一，但是也就是说，你想要做的并不是正确的方法。您应该做的是在服务器上处理这些查询，并通过您构建的 API 将其公开给用户。当用户发出请求时，您可以在服务器上验证他们是否被允许发出该请求，如果允许，您可以从查询中发回数据!