Javascript到Mongo查询passthru。安全？不好的做法？

Question

我有一个Mongo数据库。我想为该数据创建一个脚本化的HTML浏览器 - 基本上是一个带有搜索过滤器的数据表，并按列功能排序。我想构建本机Mongo查询客户端，只需让服务器端直接执行那些（任意）查询。那样做了吗？这是不好的做法吗？我当然还会实施限制和身份验证。

Answer 1

执行此操作时可能遇到的问题是：

• 用户可以创建滥用数据库服务器资源的长时间运行查询
• 用户可以搞砸你的数据（更重要的是，其他用户的数据）
• 用户可以访问他们不应该拥有的数据

如果您可以编制方法来缓解所有这些问题，那么您可以安全地做您想做的事情。我自己做了非常相似的事情除了那个

一个。我只允许任意搜索查询（没有任意更新，结构更加结构化）

B中。我使用额外的结构包装查询，以便用户只能看到他们有权访问的数据

℃。我跟踪查询需要多长时间，如果花费的时间太长（可能会在系统中执行更复杂的用户资源限制），则会将其删除。