parse-platform - 解析服务器用户表安全

Question

我对使用 Parse Server(托管在 back4app 中)还很陌生，想对预先创建的“users”表进行一些说明。

我目前正在尝试使用 Parse 开发 Web 应用程序 (Javascript)，并且我正在使用 REST API 调用来注册和登录用户。我注意到的一件事是任何人都可以获取我的 REST API key (通过 html 源)，但最重要的是任何人都可以发出 GET 'users' 请求以获取数据库中的所有用户.这些结果包括用户名、电子邮件和 ObjectID。因此，任何人都可以使用 ObjectID 对“sessions”表进行另一个 REST 调用并检索 sessionToken(我计划将其用作 protected REST API 调用的授权 token )

我不太确定如何安全地完成此操作。我在网上搜索过，但收效甚微。任何帮助或文章将不胜感激。

谢谢

Answer 1

安全访问是通过CLP(类级权限)和/或 ACL(在每一行上)。你应该看看这里: https://parseplatform.github.io/docs/js/guide/#security

请注意:“ session 对象只能由用户字段中指定的用户访问。所有 session 对象都有一个只能由该用户读取和写入的 ACL。您不能更改此 ACL。这意味着查询 session 将只返回与当前登录用户匹配的对象。”

REM:对于 Web 应用程序，您应该使用可以是“公共(public)”的 Parse“Javascript key ”。尝试通过使用它来保持 REST API key 更“私密”，即仅在可能对您的数据库发出 REST 请求的“第三方自定义和私有(private)服务器”上。