Sails.js socket.io 一般安全性

Question

使用风帆插座。 从浏览器中，我可以获得用户 ID 为 1 的所有“任务”。 我现在可以监听 'task' 事件并在动词中查找 'created' 以获取新任务并将它们添加到列表中。

但是，无论用户如何，我都会从所有创建的任务中获取事件。这似乎是我作为一个主要的安全问题。只需跳转到控制台并设置一个侦听器，即可在任何用户创建新任务时收到通知。

我环顾了一段时间，但找不到有关该主题的任何帖子。 对这种事情不熟悉 - 有人可以帮忙吗？

在 Sails 中通过 socket.io 处理列表的最佳做法是什么？

干杯！

Answer 1

这应该是您正在寻找的；它会阻止您订阅客户端上的所有现有任务。它仅在您登录时订阅并且仅订阅属于您的任务。请记住，这只是为您的应用实施安全 REST API 的第一步 - 但它应该让您开始。

在您的客户端应用程序中，您将编写：

socket.on('connect', function socketConnected()
{
    // This subscribes the user to all tasks that belong to him and only him.
    socket.get('/task/subscribe', null, function response(data, jwres)
    {
        // We don’t really care about the response.
    });

    // This 1.) creates a new task and 2.) subscribes the user to that task.
    // If the 'rest' blueprint is on, POSTing to /task gets redirected to TaskController.create automatically by sails.
    // If it's not on, you write "socket.get('/task/create' ..."
    socket.post('/task', {name : 'MyNewTask'}, function response(data, jwres)
    {
        // Add the created task inside of 'data' to your client side app.
    });
})

然后在 TaskController.js 中你会写：

subscribe : function(req, res)
{
    // Is the user logged in?
    if(!req.session.user)
    {
        return res.badRequest();
    }

    // Find all tasks that belong to the currently logged in user.
    Task.find({userID : req.session.user.id}, findUsersCB(err, tasks)
    {
        // Subscribe the user to all of his tasks.
        Task.subscribe(req.socket, tasks);

        // Send user's tasks back to the client.
        res.json(tasks);
    });
}

create : function(req, res)
{
    //Is the user logged in?
    if(!req.session.user)
    {
        return res.badRequest();
    }

    var taskToBeCreated = 
    {
        name : req.param('name'),
        userID : req.session.user.id;
    };

    // Attempt to create the given task.
    Task.create(taskToBeCreated, function createTaskCB(err, createdTask)
    {
        // Subscribe the user to the newly-created task.
        Task.subscribe(req.socket, createdTask);

        // Send user's task back to the client.
        res.json(task);
    });
}

我没有展示“更新”和“销毁”操作的示例，但两者的想法是相同的。