如何防止通过控制台修改集合以进行其他安全更新操作？

Question

我对 Meteor 还很陌生，我只是想弄清楚流星的安全性。

我正在编写一个测验应用程序，允许登录用户保存他们的分数。我创建了一个由用户 ID 和分数数组组成的集合。我公开推送新分数的方式是服务器端的一种方法：

Meteor.methods({ 
  'pushScore' : function(playerId, playerScore) {
    UserScores.upsert({ userId : playerId}, {$push : {scores : playerScore}});
  }
});

我在点击客户端的按钮时调用该方法，如下所示：

if (Meteor.userId()){
  Meteor.call('pushScore', Meteor.userId(), Session.get("score"));
}

我有以下顾虑：

• 显然用户可以在“会话”中操纵分数值并欺骗系统。有什么替代的安全机制可以在进行测验时跟踪运行分数？
• 另一个可能是更大的问题。如何防止用户只是向我的方法“pushScore”发出控制台调用，并通过添加例如 100 分来再次欺骗系统？
• 我在这里的设计方式是否存在固有缺陷？

这只是一个示例应用程序，但我可以很容易地想象一个可以模仿这个的真实世界场景。在这种情况下，最佳做法是什么？

提前致谢。

干杯..

Answer 1

正如@Peppe 建议的那样，您应该以某种方式将逻辑移至服务器。 Meteor 安全（以及一般的网络安全）的主要规则是

你不能信任客户。

原因就是您已经提到的：如果客户端可以做某事，那么就无法阻止流氓用户从浏览器控制台做同样的事情，甚至无法自己编写将利用泄漏的恶意客户端。

在您的情况下，这意味着如果客户能够为分数加分，那么无论您采用何种安全措施，用户也可以这样做。您可以使这或多或少变得困难，但您的系统有一个设计泄漏，无法完全关闭。

因此，唯一的防弹解决方案是让服务器决定何时分配积分。我假设在测验应用程序中，用户选择正确答案时会获得分数。因此，与其在客户端检查，不如创建一个服务器端方法，该方法将接收问题 ID、答案 ID，并在答案正确时增加用户分数。然后确保用户不能只使用与您的测验设计相对应的所有可能答案来调用此方法 - 例如，如果选择错误答案，则给予负分，或者允许在一段时间内只回答相同的问题一次。

最后，确保客户端不仅仅在接收到的数据中获得正确的答案 ID。

Answer 2

简而言之，您的问题有两种常见的解决方案：

1. 如果您使用 Meteor.method，则不要在 Meteor.call 中传递任何参数，服务器可以并且应该收集它计划在服务器端插入/更新的数据。

   李>

2. 您可以使用集合“允许”方法向集合添加验证功能，以验证来自客户端的任何更新，在这种情况下，您不需要 Meteor.method，只需从客户端更新即可在服务器端验证它。

Answer 3

meteor 中的安全性（插入/更新/删除操作）的工作方式与任何其他框架中的安全性相同：在执行用户执行的操作之前，请确保用户有权执行该操作。安全性在 Meteor 中可能看起来是一个弱点，但它并没有比其他框架更受它的影响（尽管在 Meteor 中通过控制台更容易利用它）。

解决问题的最佳方法可能因情况而异，但这里有一个示例：如果用户发布帖子，则该用户应获得 5 分。这是一个不好的解决方法：

if(Meteor.isClient){

    // Insert the post and increase points.
    Posts.insert({userId: Meteor.userId(), post: "The post."})
    Meteor.users.update(Meteor.userId(), {$inc: {'profile.points': 5}})

}

if(Meteor.isServer){

    Posts.allow({
        insert: function(userId, doc){

            check(doc, {
                _id: String,
                userId: String,
                post: String
            })

            // You must be yourself.
            if(doc.userId != userId){
                return false
            }

            return true

        }
    })

    Meteor.users.allow({
        update: function(userId, doc, fieldNames, modifier){

            check(modifier, {
                $inc: {
                    'profile.points': Number
                }
            })

            if(modifier.$inc['profile.points'] != 5){
                return false
            }

            return true

        }
    })

}

是什么让它变得糟糕？用户可以在不发布帖子的情况下增加他的积分。这是一个更好的解决方案：

if(Meteor.isClient){

    // Insert the post and increase points.
    Method.call('postAndIncrease', {userId: Meteor.userId(), post: "The post."})

}

if(Meteor.isServer){

    Meteor.methods({
        postAndIncrease: function(post){

            check(post, {
                userId: String,
                post: String
            })

            // You must be yourself.
            if(post.userId != this.userId){
                return false
            }

            Posts.insert(post)
            Meteor.users.update(this.userId, {$inc: {'profile.points': 5}})

        }
    })

}

更好，但仍然很糟糕。为什么？由于延迟（帖子是在服务器上创建的，而不是在客户端上创建的）。这是一个更好的解决方案：

if(Meteor.isClient){

    // Insert the post and increase points.
    Posts.insert({userId: Meteor.userId(), post: "The post."})

}

if(Meteor.isServer){

    Posts.allow({
        insert: function(userId, doc){

            check(doc, {
                _id: String,
                userId: String,
                post: String
            })

            // You must be yourself.
            if(doc.userId != userId){
                return false
            }

            return true

        }
    })

    Posts.find().observe({
        added: function(post){

            // When new posts are added, the user gain the points.
            Meteor.users.update(post.userId, {$inc: {'profile.points': 5}})

        }
    })

}

此解决方案的唯一缺点是积分增量的延迟，但这是我们必须忍受的（至少目前是这样）。在服务器上使用观察也可能是一个缺点，但我认为你可以通过使用包收集钩子来传递它。