我可以使用Meteor阻止来自客户端的Mongodb $ set吗？

Question

我需要帮助，不允许访问者在流星应用程序的浏览器控制台中提高分数。

目前，“黑客”可以通过在控制台中输入以下内容来提高他的游戏分数：

Meteor.users.update（{_ id：Meteor.userId（）}，{$ set：{“profile.score”：1000000}}）

Answer 1

@Vasil Nedyalkov的回答可以被认为是正确的，但我会这样做：

Meteor.users.deny({
  insert() { return true; },
  update() { return true; },
  remove() { return true; },
});

除了像他说的那样删除insecure和autopublish。

这是一个很好的解释： https://guide.meteor.com/security.html#allow-deny

Answer 2

您是否删除了“不安全”＆＃39;并且自动发布＆＃39;包。请参阅https://www.meteor.com/tutorials/blaze/security-with-methods

Answer 3

Khai说，

删除'不安全'和'自动发布'包。 并添加

Meteor.users.allow({
   update:function(){
      return false;
   }
})

在服务器端