🎱 📷 🙄 उल्का में सुरक्षा के बारे में और न केवल (भाग 1) 🍾 👩🏾‍🔧 🐇

उल्का रूपरेखा अनुप्रयोगों को विकसित करने के लिए सुरक्षा प्रदान करने के लिए कई तकनीकों और उपकरणों को डिजाइन किया गया है। पहले भाग में हम और अधिक प्रसिद्ध चीजों के बारे में बात करेंगे - कोड के सर्वर साइड को छिपाते हुए, ऑटोप्रिकम / असुरक्षित पैकेज, जब प्रकाशन के लिए संग्रह फ़ील्ड छिपा रहे हों और Meteor.users संग्रह के अंदर देखकर अंतर्निहित खाता प्रणाली। दूसरे में - क्लाइंट को जारी किए गए लॉगिनटॉकेन के बारे में, क्लाइंट के साथ डेटाबेस को संशोधित करते समय / इनकार नियमों की अनुमति दें, विश्वसनीय और अविश्वसनीय कोड, सर्वर के तरीके, HTTPS, बल-एसएसएल पैकेज और ब्राउज़र-पॉलिसी पैकेज (सामग्री नीति और एक्स-फ़्रेम-विकल्प)। अंतर्निहित डेटा सत्यापन तंत्र (चेक () फ़ंक्शन और ऑडिट-दलील-चेक पैकेज)।

नीचे वर्णित सब कुछ उल्कापिंड के वर्तमान संस्करण पर लागू होता है 0.7.0.1 के साथ उल्कापिंड स्थापित किया गया है। वैसे, यदि उल्का के नए संस्करण में इस लेख के उदाहरण काम नहीं करेंगे, तो उल्कापिंड का उपयोग करके आप स्टार्टअप पर --release स्विच को निर्दिष्ट करके इस लेख के उदाहरण भी देख सकते हैं:

$ mrt --release 0.7.0.1

कोड का पिछला भाग छिपाना

चलो शुरू करते हैं, शायद, सबसे सरल चीज के साथ - कोड के क्लाइंट और सर्वर भागों की विविधता। यद्यपि उल्का क्लाइंट और सर्वर के बीच कोड साझा करने की अनुमति देता है, लेकिन यह केवल ऐसा करने के लिए समझ में आता है यदि यह वास्तव में आवश्यक है। स्वयं प्रोजेक्ट को संरचित करने के अलावा, जिसकी मात्रा बढ़ने पर एक या दूसरे तरीके की आवश्यकता होगी, और क्लाइंट को हस्तांतरित डेटा की मात्रा कम हो जाती है, इससे आप सर्वर साइड कोड को छिपा सकते हैं।
उपनिर्देशिका सर्वर, क्लाइंट, क्लाइंट / अनुकूलता, सार्वजनिक, निजी, देयता, परीक्षण (और मुख्य। * फ़ाइलें) एक विशेष तरीके से नियंत्रित की जाती हैं। यह दस्तावेज़ में पर्याप्त विवरण में वर्णित है: docs.meteor.com/#structuringyourapp । केवल सर्वर पर चलने वाले कोड के लिए, सर्वर निर्देशिका का इरादा है, जिसमें से फ़ाइलें क्लाइंट को स्थानांतरित नहीं की जाती हैं। इसी प्रकार, क्लाइंट निर्देशिका में फ़ाइलों से कोड सर्वर पर अपलोड नहीं किया जाता है।
कुछ कोड, जैसे संग्रह घोषणाएँ, क्लाइंट और सर्वर दोनों के लिए उपलब्ध होनी चाहिए। इस तरह के कोड को उपनिर्देशिकाओं में आरक्षित के अलावा किसी भी नाम के साथ रखा जा सकता है (आप इसे परिवाद में भी रख सकते हैं, अंतर यह है कि इस निर्देशिका की फाइलें दूसरों की तुलना में पहले डाउनलोड की जाती हैं)।
इस उदाहरण के भाग के रूप में, हम संग्रह घोषणाओं को संग्रह उपनिर्देशिका में रखेंगे।
आइए एक नया एप्लिकेशन बनाएं:

 $ mrt create littlesec

और स्वचालित रूप से बनाई गई फ़ाइलों को हटा दें:

 $ cd littlesec $ rm littlesec.*

उपनिर्देशिका सर्वर, क्लाइंट, संग्रह बनाएँ। संग्रह में, फ़ाइल संग्रह जोड़ें। परीक्षण संग्रह की घोषणा के साथ:

 Test = new Meteor.Collection('test');

दरअसल, परियोजना पहले ही शुरू की जा सकती है:

 $ mrt

और ब्राउज़र में खोलें: लोकलहोस्ट : 3000
हम केवल एक खाली पृष्ठ देखेंगे, लेकिन टेस्ट ऑब्जेक्ट, भले ही खाली हो, पहले से ही कंसोल से उपलब्ध होगा:

 > Test.find().count() 0

ग्राहक उपनिर्देशिका में home.html फ़ाइल जोड़ें:

 <head> <title>littlesec</title> </head> <body> {{> home}} </body> <template name="home"> {{#each test}} <li> <ul>_id:'{{_id}}' name:'{{name}}' value:'{{value}}'</ul> </li> {{else}} <p>Collection Test is empty</p> {{/each}} </template>

और घर.जेएस:

 Template.home.test = function() { return Test.find({}); }

सर्वर में उपनिर्देशिका - startup.js फ़ाइल:

  Meteor.startup(function(){ if (!Test.find({}).count()) { var testValues = [ {name: 'First', value: 1}, {name: 'Second', value: 2}, {name: 'Third', value: 3} ]; testValues.forEach( function(testValue) { Test.insert(testValue); }); } });

अब परीक्षण संग्रह क्लाइंट और सर्वर दोनों के लिए उपलब्ध है, और सर्वर कोड क्लाइंट को प्रेषित नहीं किया जाता है। _Id फ़ील्ड एक नया रिकॉर्ड सम्मिलित किए जाने पर डेटाबेस पहचानकर्ता स्वतः उत्पन्न होता है।

फिलहाल, संग्रह पूरी तरह से पढ़ने और लिखने दोनों के लिए उपलब्ध है, जिसे कंसोल से चेक किया जा सकता है:

 > Test.findOne({})

और:

 > Test.insert({name: 'Fourth', value: 4})

स्वत: संग्रह / असुरक्षित पैकेज निकालें

हमें उस संग्रह तक पूरी पहुँच मिली, जिसे बनाने के दौरान हमने प्रोजेक्ट द्वारा डिफ़ॉल्ट रूप से जुड़े ऑटोप्रिज़म और असुरक्षित पैकेज के लिए धन्यवाद की घोषणा की। पहले एक सर्वर पर मौजूद सभी संग्रह "प्रकाशित" करता है, दूसरा उन्हें बदलने का पूरा अधिकार देता है। यह बहुत उल्का और तेजी से प्रोटोटाइप के साथ परिचित की सुविधा प्रदान करता है, लेकिन, निश्चित रूप से, वास्तविक जीवन में अस्वीकार्य है, इसलिए:

 $ mrt remove autopublish $ mrt remove insecure

ब्राउज़र में टेस्ट ऑब्जेक्ट अभी भी उपलब्ध है, लेकिन अधिक डेटा नहीं है:

 > Test.find().count() 0

अब, ताकि सामान्य मोड में, ऑटोप्रिज़्म के बिना, क्लाइंट को सर्वर डेटा तक पहुंच प्राप्त हो, सर्वर को इसे प्रकाशित करना होगा, और क्लाइंट को सदस्यता लेनी होगी।
सर्वर / स्टार्टअप.जेएस फ़ाइल में संग्रह का प्रकाशन जोड़ें (इसे Meteor.startup () और इसके अंदर जोड़े गए फ़ंक्शन के बाहर रखा जा सकता है; अंतर तब होगा जब प्रकाशन बनाया गया था - यह महत्वपूर्ण है कि प्रकाशित संग्रह इस समय तक मौजूद है):

 Meteor.publish('test', function() { return Test.find(); } );

यदि संग्रह को प्रकाशित किया गया है, जबकि ऑटोप्रैसम पैकेज अभी भी परियोजना से जुड़ा हुआ है, तो इसके बारे में चेतावनी Meteor के प्रारंभ में प्रदर्शित की जाएगी:

 I20140131-11:36:07.343(4)? ** You've set up some data subscriptions with Meteor.publish(), but I20140131-11:36:07.388(4)? ** you still have autopublish turned on. <..>

ग्राहक / home.js फ़ाइल में उचित सदस्यता जोड़ें:

  Meteor.subscribe('test');

अब डेटा फिर से ब्राउज़र में दिखाई दिया है, हालांकि, इसे बदलने के लिए और अधिक अधिकार नहीं हैं:

 > Test.insert({name: 'Fifth', value: 5}) "BDgB258TovmqS7YbY" insert failed: Access denied

कृपया ध्यान दें कि रिकॉर्ड को पहली बार स्थानीय संग्रह में डाला गया है, इसकी पहचानकर्ता ("BDgB258TovmqS7YbY") को लौटाया गया है, और यह रिकॉर्ड ब्राउज़र में प्रदर्शित किया जाता है, फिर सर्वर से एक त्रुटि सूचना प्राप्त होती है, और स्थानीय संग्रह में सम्मिलित किया जाता है। ब्राउज़र में प्रदर्शन देरी मुआवजा तंत्र के कारण है, और त्रुटि अनुमति / इनकार नियमों की जांच के कारण प्रकट होती है (उनके बारे में थोड़ी देर बाद); असुरक्षित पैकेज के बिना, डिफ़ॉल्ट परिवर्तन निषिद्ध हैं।

प्रकाशित करते समय फ़ील्ड छिपाएँ

संग्रह को पूर्ण रूप से प्रकाशित नहीं करना है। अब तक, सर्वर संग्रह से सभी फ़ील्ड प्रदर्शित किए गए हैं। उदाहरण के लिए, आप _id फ़ील्ड छिपा सकते हैं, इससे डेटा में हेरफेर करने की क्षमता सीमित हो जाएगी, क्योंकि क्लाइंट की ओर से आपको डेटा बदलने के लिए रिकॉर्ड पहचानकर्ता निर्दिष्ट करने की आवश्यकता है (आईडी द्वारा डेटा बदलने पर प्रतिबंध भी देखें), या अन्य फ़ील्ड, जैसे कि यह उल्का संग्रह में लागू किया गया है। उपयोगकर्ता (नीचे देखें):

 Meteor.publish('test', function() { var projection = {_id: 0, value: 1}; return Test.find({}, {fields: projection} ); // return Test.find(); } );

दुर्भाग्य से, _id फ़ील्ड को इस तरह से छिपाया नहीं जा सकता है - शायद, इसका उपयोग सर्वर और स्थानीय संग्रह के बीच पत्राचार स्थापित करने के लिए किया जाता है। वर्तमान संस्करण में, यह एक त्रुटि का कारण बनेगा, पहले यह केवल एक खाली संग्रह लौटा था।
बेशक, खेतों को छिपाने से स्थानांतरित किए गए डेटा की मात्रा पर भी सकारात्मक प्रभाव पड़ेगा।

उल्का खाता प्रणाली

उपरोक्त सभी अनधिकृत उपयोगकर्ताओं पर लागू होते हैं। और अगर उपयोगकर्ता अधिकृत है तो क्या अवसर दिखाई देंगे?
उल्का खाता प्रणाली के लिए परियोजना समर्थन में जोड़ें:

 $ mrt add accounts-base $ mrt add accounts-ui $ mrt add accounts-google

अकाउंट-गूगल के अलावा, कई प्राधिकरण प्रदाताओं के लिए आधिकारिक पैकेज हैं, जिनमें फेसबुक, ट्विटर, जीथब और अन्य शामिल हैं। अनौपचारिक पैकेज भी अन्य प्रदाताओं का समर्थन करते हैं, उदाहरण के लिए, Vkontakte।
हम home.html में तैयार उपयोगकर्ता प्राधिकरण बटन टेम्पलेट का उपयोग करते हैं:

 {{loginButtons}}

और उपयोगकर्ता जानकारी प्रदर्शित करने के लिए currentUser:

 {{currentUser._id}} {{currentUser.profile.name}}

और, चरण-दर-चरण निर्देशों का उपयोग करके, जो पहली बार बटन पर क्लिक करने पर प्रदर्शित होंगे, Google के साथ अपना आवेदन पंजीकृत करें, जिसके बाद हम तुरंत उपयोगकर्ता को अधिकृत कर सकते हैं।
फेसबुक का समर्थन करने के लिए एक पैकेज जोड़ें:

 $ mrt add accounts-facebook

फिर दूसरा उपयोगकर्ता पंजीकृत करें।
खाते Meteor.users संग्रह में संग्रहीत किए जाते हैं, लेकिन अगर हम इसे ब्राउज़र में एक्सेस करते हैं, तो हम केवल एक दस्तावेज़ देखेंगे, हालांकि पहले से ही दो पंजीकृत उपयोगकर्ता हैं:

 > Meteor.users.find().count() 1

तथ्य यह है कि डिफ़ॉल्ट रूप से (यदि ऑटोप्रीक पैकेज अक्षम है - इसके साथ सब कुछ थोड़ा अधिक जटिल है) ग्राहक के पास इस संग्रह में अपने स्वयं के दस्तावेज़ के केवल कुछ हिस्सों तक पहुंच है:

 > Meteor.users.findOne()) {"_id":"8fLXBYpNGLqDwAahg","profile":{"name":"< >"}}

वही दस्तावेज़ Meteor.user चर के माध्यम से उपलब्ध है, और इसका पहचानकर्ता Meteor.userId () है

 > Meteor.user() {"_id":"8fLXBYpNGLqDwAahg","profile":{"name":"< >"}}

एक संबंधित फ़ंक्शन (सहायक) हैंडलबार्स करेंटयूज़र है, जिसके साथ हम वर्तमान उपयोगकर्ता के बारे में जानकारी प्रदर्शित करते हैं।

यदि आप खाता-आधार पैकेज के स्रोत कोड को देखते हैं, तो Meteor.users संग्रह सर्वर पर निम्नानुसार बनाया जाता है:

 Meteor.users = new Meteor.Collection("users", {_preventAutopublish: true});

और इस तरह प्रकाशित:

 // Publish the current user's record to the client. Meteor.publish(null, function() { if (this.userId) { return Meteor.users.find( {_id: this.userId}, {fields: {profile: 1, username: 1, emails: 1}}); } else { return null; } }, /*suppress autopublish warning*/{is_auto: true});

यदि उपयोगकर्ता अधिकृत है, तो this.userId में उसका पहचानकर्ता होता है, जिसके द्वारा प्रोफ़ाइल सबडैक्ज़िमेंट डेटाबेस, उपयोगकर्ता नाम फ़ील्ड और ईमेल सबडक्लेममेंट (अंतिम दो डिफ़ॉल्ट रूप से नहीं भरे जाते हैं) से लौटाया जाता है। अन्यथा, कोई डेटा प्रकाशित नहीं किया जाता है। इसका मतलब यह है कि डिफ़ॉल्ट रूप से केवल खेतों का हिस्सा और डेटाबेस से केवल उसका अपना दस्तावेज ही अधिकृत उपयोगकर्ता के लिए सुलभ है।

सोशल नेटवर्क से उपयोगकर्ता की Google छवि का लिंक उपनिर्देशन सेवाओं.google.picture में संग्रहीत किया जाता है, और आप पहचानकर्ता services.facebook.id का उपयोग करके फेसबुक से छवि तक पहुंच सकते हैं। उन्हें एक्सेस करने के लिए, उन्हें अतिरिक्त रूप से प्रकाशित किया जाना चाहिए, उदाहरण के लिए, इस तरह (सर्वर / स्टार्टअप में जोड़ें)।

 Meteor.publish(null, function() { if (this.userId) { var projection = { 'services.google.picture': 1, 'services.facebook.id': 1, 'services.vk.photo': 1 }; return Meteor.users.find( { _id: this.userId }, { fields: projection } ); } else { return null; } });

और चित्र का लिंक home.html में है:

  {{#if currentUser.services.facebook}} <img src="http://graph.facebook.com/{{currentUser.services.facebook.id}}/picture/?type=square"> <!-- small || normal || large || square --> {{else}}{{#if currentUser.services.google}} <img src={{currentUser.services.google.picture}}> {{else}}{{#if currentUser.services.vk}} <img src={{currentUser.services.vk.photo}}> {{/if}}{{/if}}{{/if}}

चयनित क्षेत्र अब ग्राहक के लिए उपलब्ध हैं:

 > Meteor.users.findOne() { "_id":"8fLXBYpNGLqDwAahg", "profile": { "name":"< >" }, "services": { "facebook": { "id": "<  Facebook>" } } }

फ़ील्ड को स्पष्ट रूप से निर्दिष्ट करने के बजाय, आप प्रक्षेपण = {} या सेवाओं को उप-सेटमेंट द्वारा प्रक्षेपण = {सेवाएं: 1} सेट करके संपूर्ण उपयोगकर्ता दस्तावेज़ प्रकाशित कर सकते हैं। हालाँकि, इस मामले में, ग्राहक को इसके लिए स्पष्ट रूप से अतिरिक्त डेटा प्राप्त होगा, जैसे कि एक्सेसटोकन या लॉगिनटोकन।
यदि आपको अन्य उपयोगकर्ताओं के बारे में जानकारी प्रदर्शित करने की आवश्यकता है, तो आप संग्रह में सभी दस्तावेजों के चयनित क्षेत्रों को प्रकाशित कर सकते हैं, उदाहरण के लिए, मौजूदा सार्वजनिक क्षेत्र में एक और जोड़ना:

 Meteor.publish(null, function() { var projection = { 'profile.name': 1 }; return Meteor.users.find( { }, { fields: projection } ); });

परिणाम सभी प्रकाशनों का एकीकरण होगा, और अब सभी उपयोगकर्ता, जिनमें अनधिकृत वाले भी शामिल हैं, सभी पंजीकृत उपयोगकर्ताओं के नाम देखेंगे, और वर्तमान उपयोगकर्ता को अपने दस्तावेज़ के अतिरिक्त फ़ील्ड दिखाई देंगे:

 Meteor.users.find().fetch() [ { "_id":"8fLXBYpNGLqDwAahg", "profile": { "name":"< >" } }, { "_id":"kL7Fkuk29ci4vz8q4", "profile": { "name":"< >" }, "services": { "google":{ "picture":"<  >" } } } ]

उल्का में सुरक्षा के बारे में और न केवल (भाग 1)

कोड का पिछला भाग छिपाना

स्वत: संग्रह / असुरक्षित पैकेज निकालें

प्रकाशित करते समय फ़ील्ड छिपाएँ

उल्का खाता प्रणाली

More articles: