我感觉我失去了一些东西。我试图定制我的产品用户界面，以便某些项目仅向管理员显示。此外，限制对路由器中某些“页面”的访问需要同步调用防护。我当然更喜欢保持异步，但这似乎不满足要求。
在其他环境中，我会创建一个 bool 函数，例如 isAdmin() 来检查用户授权/Angular 色。但由于出于安全原因用户不应该看到该函数的实现，因此最好使用仅服务器的 Meteor 方法。虽然该方法可以在客户端同步(如果没有指定回调)，但获取返回值的唯一方法是使用 Meteor.call() 的异步回调形式。
似乎有三种方法可以处理这个问题，但没有一种方法像 bool 函数那么简单:
- 从 isAdmin() 返回一个 Observable，但这解决了问题 到调用 isAdmin() 的地方。它不能解决路由器防护问题。
- 在需要 isAdmin() 的地方执行 Meteor.call()，并丢弃 isAdmin() 函数。这也把问题推到了所有的调用上 站点，并且不解决路由器防护问题。
- 根本不返回值，但让服务器端方法抛出异常 如果用户不是管理员，则异常(exception)。但是，这不会改变方法调用的异步性质。
我见过使用 Meteor.wrapAsync 或 Future 的示例，但这些示例使用服务器上的 Fiber，而不是客户端。
对于其他模式有什么其他建议，也许使用 rxjs？谢谢。
最佳答案
我认为我不了解您的整体安全策略，但这里有一些需要考虑的事情。
安全发生在服务器上，您似乎对此很了解。
在我当前的项目中，我们使用 Angular 色 ( alanning:roles )，并且有多个管理 Angular 色。这些 Angular 色是通过 Meteor.user 对象发布的，因此在客户端我们可以通过检查来启用/禁用页面链接。
因此，我们同意这样做并不是真正的安全性，因为用户可以简单地导航到该链接或更改其客户端 Meteor.user 对象来公开该链接。
但在该页面上，我们可能将访问仅限管理的数据。由于我们在服务器上处理发布，因此我们可以在服务器上检查这些管理员 Angular 色的真实性，因此我们可以检测非管理员用户访问并抛出错误。
类似地，如果我们向用户发布数据，并且他们获得的项目基于 Angular 色，我们可以在发布中检查这一点，并仅发布那些允许他们查看的项目。与限制这些已发布项目的字段相同的想法。
对于您关于“检查 Angular 色的客户端代码是什么样的？”的问题，它实际上只是查询 Meteor.user 上“Angular 色”字段的内容。因此，虽然它确实向他们暗示了存在哪些 Angular 色以及应用程序如何使用它们来提高可见性，但恕我直言，它并没有提供恶作剧的途径。只要他们无法访问任何受限数据，或成功执行任何受限调用，它就是安全的。
因此，对于我们的每个发布者和 Meteor 方法，我们都有大量的错误检查，包括 Angular 色(管理员和其他 Angular 色)。如果有任何内容不一致，我们会抛出错误。
关于javascript - 使 Meteor 方法调用在客户端同步，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/44598807/