隐藏从 Meteor 方法调用的秘密服务器代码

Question

我正在努力思考如何在 Meteor Methods 中向客户端隐藏秘密服务器代码。 The docs seem to imply 以下是其完成方式的一般模式。 https://guide.meteor.com/structure.html#using-require

（请注意，根据文档，我使用 require 而不是 import，因为 import 不能在条件块中使用。）

首先，这是一个在名为 methods.js 的文件中定义的方法，并在客户端和服务器上都导入：

/* methods.js */

let ServerCode
if (Meteor.isServer) {
  ServerCode = require('/imports/server-code.js')
}

Meteor.Methods({
  'myMethodName': function() {
    // ... common code
    if (Meteor.isServer) {
      ServerCode.secretFunction()
    }
    // ... common code
  }
})

其次，这是/imports/server-code.js 中的秘密服务器代码，我试图不发送给客户端：

/* server-code.js */

class ServerCode {
  secretFunction() {
    console.log('TOP SECRET!!!!')
  }
}

const ServerCodeSingleton = new ServerCode()
module.exports = ServerCodeSingleton

但是当我检查发送到客户端浏览器的源时，我仍然看到我的秘密服务器代码被发送到客户端：

即使我进行生产构建，我仍然可以搜索并找到“绝密！！”细绳。我觉得我对 require 工作原理的理解过于天真，但 Meteor 文档让它看起来如此简单。那么隐藏从 Meteor Methods 调用的密码的正确方法是什么？

Answer 1

我想我终于想通了。

简短的版本是，忽略这里所说的；我认为这是不正确的或至少具有误导性：

https://guide.meteor.com/structure.html#using-require

并按照这里所说的：

https://guide.meteor.com/security.html#secret-code

更长的解释是：在一个仅服务器文件中，import 密码并将其分配给一个全局变量。然后，在一个公共文件，使用isServer（或!isSimulation）有条件地引用该全局变量。

所以我原来的例子可能会这样重写：

/*   /imports/methods.js   */

// Note: no conditional use of require this time

Meteor.Methods({
  'myMethodName': function() {
    // ... common code
    if (Meteor.isServer) {
      ServerCode.secret() // <-- Defined as a global outside of this file!
    }
    // ... common code
  }
})

因此密码文件可能如下所示：

/*   /imports/server-code.js   */

class _ServerCode {
  secret() {
    console.log("Shhhhhh, I'm secret()!")
  }
}
// Here's the global variable:
SecretCode = new _SecretCode()

然后在 server-only 文件中，它可能看起来像这样：

/*   /server/server-main.js   */

import '/imports/secret-code' // <-- declare the global
import '/imports/methods' // <-- use the global in here

然后在 client-only 文件中可能如下所示：

/*   /client/client-main.js   */ 

import '/imports/methods'

//...

Meteor.call('myMethodName')

现在客户端和服务器都可以在方法主体 (DRY) 中执行一些完全相同的代码，而一些密码可以是服务器专用的并赢得也不会发送给客户。不得不求助于使用全局变量有点烦人，但这也许是最干净的选择，直到出现支持内置延迟加载模块的更高级的 import 版本。

Answer 2

编辑：忽略答案，不解决 OP 对 DRY 代码或乐观更新的渴望。

默认情况下，Meteor 实现了一个关于文件的预加载方案。你的 methods.js 就是一个例子。

如果文件位于名为“client”的文件夹下任何位置的目录中，则该文件仅提供给客户端。同样，“服务器”下的任何文件都只提供给该文件夹。这就是您确保文件仅提供给服务器的处理方式。

正如您所发现的，“Meteor.isServer”构造仅限制环境中运行的内容，而不限制环境中提供的内容。

我通常像这样实现 Meteor 方法：

server/some/path/stuff.js:

// this is only on the server
Meteor.methods({
    'getStuff': function() {
        return "stuff";
    }
});

client/some/path/clientStuff.js:

// this is only on the client, calling the server method
Meteor.call('stuff', function(error, result) {
    if (error && error.reason) {
        alert(error.reason);
    }
    else {
        // use result
    }
});

关于require，你为什么要使用它？

我看到您在 /imports 中有代码，Meteor 将其视为特殊的并且不会急切加载。这告诉我你明确地导入了这些东西。

MDG 对目录结构、ES15 模块以及如何加载代码有一些强烈的建议，他们在这里详细介绍：

https://guide.meteor.com/structure.html

您会注意到他们不使用 require，并且指定模块的方式与您的做法不同。