security - meteor ddp 连接安全和 https

Question

我在三台不同的服务器上有 3 个 meteor 应用程序。其中一个拥有另外两个使用的所有数据。我正在使用 ddp.connect()。

所以这三个应用程序运行良好，但我现在担心的是安全性。在考虑安全性之后，我已经阅读了有关 DDP 的信息，但我没有找到任何安全选项。它只允许任何人连接到服务器并使用此协议(protocol)获取数据。如何在允许另外 2 个人连接的同时防止这种情况发生？

另一件事是它使用 http 请求(发布、获取)，但我的应用程序现在通过 https 进行，我想使 ddp 请求通过 https 进行，这可能吗？

我觉得我遗漏了一些非常明显的东西，但我无法从谷歌中找到它。

Answer 1

您的 DDP 服务器客户端(服务器 2 和 3)与常规 Web 浏览器客户端没有或几乎没有区别。您需要采取的所有安全措施来禁止 Web 客户端执行不需要的操作(例如，允许/拒绝、条件发布、方法调用中的凭据检查等)也可用于服务器到服务器的连接。

DDP 应该使用 websocket，而不是 HTTP(即使连接 URL 是用 http 指定的)。如果将该 URL 更改为 https://，则 DDP 通信应通过“websocket secure”(wss://) 进行路由。