依靠 Meteor.userId() 来确保 Meteor 的安全性？

Question

我在服务器上有一个更新用户电子邮件地址的方法。我知道这只会在用户只有 1 个电子邮件地址时才有效，但目前还可以。

Meteor.methods({
  'user.updateEmail'({ email, userId }) {
    Meteor.users.update(
      { _id: userId },
      {
        $set: {
          'emails.0.address': email,
          'emails.0.verified': false,
        },
      },
    );
  },
});

我从 React 组件中的表单调用此方法：

const formSubmit = e => {
    e.preventDefault();
    const email = e.target.email.value;
    const userId = Meteor.userId();
    Meteor.call('user.updateEmail', { email, userId }, err => {
      if (err) {
        alert(err);
      }
    });
  };

这不安全吗？我从客户端传递了 userId，所以大概可以更改它？

Answer 1

你是对的。您应该在您的方法中使用Meteor.userId() 来接收用户的ID。用户无法更改此项。

Answer 2

不要费心从客户端传递用户 ID。您可以使用Meteor.userId()从服务器本身获取用户ID

更多信息：

Meteor.user() - Get the current user record, or null if no user is logged in. A reactive data source Meteor.userId() - Get the current user id, or null if no user is logged in. A reactive data source this.userId - Access inside the publish function. The id of the logged-in user, or null if no user is logged in 和The id of the user that made this method call, or null if no user was logged in。