আমরা সবাই জানি যে মেটিয়র মিনিমঙ্গো ড্রাইভার সরবরাহ করে যা ক্লায়েন্টকে অবিরামভাবে অবিরাম স্তরে (মংগোডিবি) অ্যাক্সেস করতে দেয়।
যদি কোনও ক্লায়েন্ট অবিচ্ছিন্ন এপিআই অ্যাক্সেস করতে পারে তবে একজন কীভাবে তার অ্যাপ্লিকেশনটি সুরক্ষিত করতে পারে?
উল্কাটি যে সুরক্ষা ব্যবস্থাগুলি দেয় এবং সেগুলি কোন প্রসঙ্গে ব্যবহার করা উচিত?
উত্তর:
আপনি যখন উল্কা আদেশ ব্যবহার করে কোনও অ্যাপ তৈরি করেন, ডিফল্টরূপে অ্যাপটিতে নিম্নলিখিত প্যাকেজগুলি অন্তর্ভুক্ত থাকে:
একসাথে, এই প্রতিটি ক্লায়েন্টের সার্ভারের ডেটাবেজে সম্পূর্ণ পঠন / লেখার অ্যাক্সেসের প্রভাব নকল করে। এগুলি দরকারী প্রোটোটাইপিং সরঞ্জাম (কেবলমাত্র উন্নয়ন উদ্দেশ্যে), তবে সাধারণত উত্পাদন অ্যাপ্লিকেশনগুলির জন্য উপযুক্ত নয়। আপনি যখন উত্পাদন মুক্তির জন্য প্রস্তুত হন, কেবলমাত্র এই প্যাকেজগুলি সরিয়ে দিন।
আরও যোগ করতে, মেটিয়র ফেসবুক / টুইটার / এবং প্রমাণীকরণ হ্যান্ডেল করার জন্য আরও অনেকগুলি প্যাকেজ সমর্থন করে এবং দুর্দান্ততমটি অ্যাকাউন্টস-ইউআই প্যাকেজ
meteor remove autopublish insecure।
access deniedত্রুটি ছুঁড়ে দেবে । এটা দেখ.
ইন সংগ্রহের ডক বলেছেন:
বর্তমানে ক্লায়েন্টকে সংগ্রহে সম্পূর্ণ লেখার অ্যাক্সেস দেওয়া হয়েছে। তারা নির্বিচারে মোঙ্গো আপডেট আদেশগুলি কার্যকর করতে পারে। একবার আমরা প্রমাণীকরণ তৈরি করলে আপনি ক্লায়েন্টের প্রবেশাধিকার, আপডেট এবং সরাতে সরাসরি অ্যাক্সেস সীমাবদ্ধ করতে সক্ষম হবেন। আমরা ভ্যালিডেটর এবং অন্যান্য ওআরএম-এর মতো কার্যকারিতা বিবেচনা করছি।
আপনি যদি ক্লায়েন্টকে আপনার কোনও অননুমোদিত inোকান / আপডেট / মুছুন এপিআই ব্যবহার না করার বিষয়ে কথা বলছেন তবে তা সম্ভব।
তাদের, টোডো অ্যাপ্লিকেশনটি https://github.com/meteor/meteor/tree/171816005fa2e263ba54d08d596e5b94dea47b0d/example/todos এ দেখুন
এছাড়াও, তারা এখন এথএইচ মডিউলে একটি অন্তর্নির্মিত যোগ করেছে, এটি আপনাকে লগইন এবং নিবন্ধন করতে দেয়। সুতরাং এটি নিরাপদ। যতদূর আপনি এক্সএসএস, ভলিয়েশন, ক্লায়েন্ট শিরোনাম ইত্যাদির যত্ন নিচ্ছেন
তবে আপনি যে কোনও দিন নোডে মোতায়েন করে উল্কার অ্যাপটিকে পুরোপুরি কর্মক্ষম নোডেজ অ্যাপ্লিকেশনে রূপান্তর করতে পারেন। সুতরাং আপনি যদি কোনও নোডেজ অ্যাপ্লিকেশনটি কীভাবে সুরক্ষিত করতে জানেন তবে আপনার অবশ্যই উল্কাপাতটি সুরক্ষিত করতে সক্ষম হওয়া উচিত।
0.6.4 হিসাবে, বিকাশ মোড চলাকালীন, is_client এবং is_server ব্লকগুলি এখনও ক্লায়েন্ট সিস্টেমে যায়। আপনি যখন ডেভলপমেন্ট মোডটি বন্ধ করবেন তখন এগুলি আলাদা করে রাখা হয়েছে কিনা তা আমি বলতে পারি না।
তবে, যদি তা না হয় তবে কোনও হ্যাকার যদি (মেটিওর.আইস_সভার) কোডটির ব্লকগুলি পর্যালোচনা করে সিস্টেমের কাছ থেকে অন্তর্দৃষ্টি অর্জন করতে সক্ষম হতে পারে। এটি বিশেষত আমাকে উদ্বেগ করেছে, বিশেষ করে কারণ আমি উল্লেখ করেছি যে আমি এখনও এই মুহুর্তে ক্লায়েন্ট এবং সার্ভারে পৃথক ফাইলগুলিতে সংগ্রহগুলি আলাদা করতে পারি না।
ঠিক আছে, বিন্দুটি কোনও নন-সার্ভার ডিরেক্টরিতে একটি ইস_সার্ভার ব্লকে সুরক্ষা সম্পর্কিত কোড স্থাপন করা হয় না (যেমন - এটি নিশ্চিত করুন যে এটি সার্ভারের অধীনে কোনও কিছুর মধ্যে রয়েছে)।
আমি দেখতে চেয়েছিলাম যে আমি ক্লায়েন্ট এবং সার্ভার ডিরেক্টরিতে ক্লায়েন্ট এবং সার্ভার সংগ্রহগুলি পৃথক করতে না পারার বিষয়ে বাদাম। আসলে এ নিয়ে কোনও সমস্যা নেই।
এই আমার পরীক্ষা। এটি প্রকাশ / সাবস্ক্রাইব করা মডেলের একটি সাধারণ উদাহরণ যা সূক্ষ্মভাবে কাজ করে বলে মনে হচ্ছে। http://goo.gl/E1c56