javascript - 使用breezejs在javascript中查询信息不是很危险吗？

Question

刚刚开始玩 breeze.js因为编码时间明显增加，即管理直接在 Javascript 中从服务器访问模型数据(我是这里的新手，所以显然没有!)。

过去我使用stock ajax调用来获取/发布数据到服务器，并且我过去使用过一些不同的客户端工具来为查询本地数据提供一些帮助，例如jLinq 。

我的问题是这样的。在 Javascript 中拥有基本完整的模型查询访问权限不是很危险吗？我一定错过了一些东西，因为它看起来像是一个经过深思熟虑的工具。在过去，我至少控制了可以通过后端查询过程发送到客户端的内容，并再次使用 jLinq 等东西，我可以过滤数据等。我也可以理解可能与获得直接查询/非重复本地模型问题，所以是否有人可以对此提供一些见解？

谢谢!

编辑显然我不是唯一的人，但我猜测有一个合理的响应 - 也许限制使用 DTO 方法或其他方法请求的数据？ The other question posted is here

Answer 1

暴露完整的商业模式可能很危险。允许对模型中想要向客户端公开的部分进行无限制的查询可能是危险的。无论您提供易于查询的 API 还是难以查询的 API，都是如此。

这就是为什么我们的团队对构建服务的方式非常谨慎。

您应该只公开客户端应用程序需要的类型。如果您想限制对某种类型的授权实例的访问，您可以仔细编写规定的不可查询的服务方法。 Breeze 可以很好地调用它们。您不必对每个请求都使用 Breeze 查询工具。您仍然可以从缓存、相关实体导航、更改跟踪、验证、保存捆绑、缓存查询、离线支持中受益。

重复:您的服务方法不必返回 IQueryable。即使它们确实返回 IQueryable，您也可以轻松编写服务方法来将查询结果限制为用户有权查看的实体。

幸运的是，您可以在同一服务或协作服务中混合这两种方法。

Breeze 给你选择。您需要明智地做出这些选择。走出去设计您的服务以满足您的要求。