流星 ddp 连接安全和 https

Question

我在三个不同的服务器上有 3 个流星应用程序。其中一个拥有其他 2 个使用的所有数据。我正在使用ddp.connect()。

所以这三个应用程序运行良好，但我现在担心的是安全性。 在考虑了安全性之后，我已经阅读了有关 DDP 的信息，但我没有找到任何安全选项。 它只允许任何人连接到服务器并使用此协议获取数据。如何在允许其他 2 人连接的同时防止这种情况发生？

另一件事是它使用 http 请求（post、get），但我的应用程序现在通过 https 并且我想让 ddp 请求通过 https 可能吗？

我觉得我错过了一些非常明显的东西，但我无法从谷歌找到它。

Answer 1

您的 DDP 服务器客户端（服务器 2 和 3）与常规 Web 浏览器客户端没有或几乎没有区别。您需要采取的所有安全措施以禁止 Web 客户端执行不需要的操作（例如，允许/拒绝、条件发布、方法调用中的凭据检查等）也可以用于服务器到服务器的连接。

DDP 应该使用 websocket，而不是 HTTP（即使连接 URL 是用 http 指定的）。如果您将该 URL 更改为 https://，则 DDP 通信应通过“websocket secure”(wss://) 进行路由。