Ist es nicht gefährlich, Abfrageinformationen in JavaScript mit brisejs zu haben?

Question

Beginnen Sie einfach mit breeze.js wegen der offensichtlichen Gewinne in Codierungszeit, d. H. Verwalten von Modelldaten vom Server direkt in Javascript (Ich bin ein Neuling hier, also offensichtlich nackt mit!).

In der Vergangenheit habe ich die Aktien-Ajax-Aufrufe verwendet, um Daten auf den Server zu bekommen/zu veröffentlichen, und ich habe einige verschiedene Client-Tools in der Vergangenheit verwendet, um Hilfe bei der Abfrage von lokalen Daten wie jLinq.

Meine Frage ist dies. Ist es nicht gefährlich, im Wesentlichen vollständigen Modellabfragezugriff in Javascript zu haben? Ich muss etwas vermissen, weil es wie ein wirklich gut durchdachtes Werkzeug aussieht. In der Vergangenheit habe ich zumindest kontrolliert, was über den Backend-Abfrageprozess an den Client gesendet werden kann, und wiederum mit etwas wie jLinq usw. Ich könnte die Daten usw. filtern. Ich kann auch den Kompromiss verstehen, vielleicht mit der direkten Abfrage/kein duplizierendes lokales Modellproblem, also nur wenn irgendjemand etwas Einblick geben könnte?

Danke!

EDIT Offensichtlich bin ich nicht die einzige, aber es ich bin zu raten, ist eine vernünftige Antwort - angefordert werden unter Verwendung von DTO Methoden oder etwas vielleicht die Daten zu begrenzen? The other question posted is here

Answer 1

Es kann gefährlich sein, das vollständige Geschäftsmodell offenzulegen. Es kann gefährlich sein, die uneingeschränkte Abfrage auch nur eines Teils des Modells zuzulassen, den Sie dem Client zur Verfügung stellen möchten. Dies gilt unabhängig davon, ob Sie eine leicht abfragbare oder eine schwer abfragbare API anbieten.

Aus diesem Grund achten unsere Teams sorgfältig darauf, wie wir unsere Dienstleistungen aufbauen.

Sie sollten nur Typen angeben, die Ihre Client-App benötigt. Wenn Sie den Zugriff auf autorisierte Instanzen eines Typs beschränken möchten, können Sie sorgfältig vorgeschriebene, nicht abfragbare Servicemethoden schreiben. Breeze kann sie gut nennen. Sie müssen die Breeze-Abfragefunktionen nicht für jede Anforderung verwenden.Sie profitieren weiterhin von Caching, related-entity-navigation, Änderungsverfolgung, Validierung, Speichern-Bündeln, Cache-Abfrage, Offline-Unterstützung.

Wiederholen: Ihre Dienstmethoden müssen IQQueryable nicht zurückgeben. Auch wenn sie IQueryable zurückgeben, können Sie die Dienstmethode einfach so schreiben, dass die Abfrageergebnisse nur auf die Entitäten beschränkt werden, zu deren Anzeige der Benutzer berechtigt ist.

Glücklicherweise können Sie die beiden Ansätze in demselben Dienst oder in zusammenarbeitenden Diensten kombinieren.

Breeze gibt Ihnen Möglichkeiten. Es liegt an Ihnen, diese Entscheidungen weise zu treffen. Gehen Sie dorthin und entwerfen Sie Ihre Dienstleistungen, um Ihre Anforderungen zu erfüllen.

Answer 2

Breeze ist nicht zu be Ihre Geschäftslogik in diesem Sinne gemeint. Unter Berücksichtigung der Faustregel, dass, wenn Sie etwas in Javascript tun, jeder es tun kann, sollten Sie die Sichtbarkeit Ihrer eigenen Service-Daten bei Bedarf einschränken.

Mit anderen Worten, es ist nützlich für Sie, wenn Sie die Daten trotzdem öffentlich sichtbar machen wollten. Aber setze nur die Entitäten frei, die du gerne entblösst und die es jedem erlauben, Fragen zu stellen. Eine andere Möglichkeit, es zu betrachten, ist, dass Ihre API zu einer öffentlichen API für Ihre Website wird (aber nicht zu einer, die Sie bewerben und jeder dazu auffordern).

Ich bin persönlich nicht ein Fan der Dinge auf diese Weise tun, da es eine Abhängigkeit auf dem Schema der Back-End-Implementierung erstellt. Wenn ich Änderungen an meinen Datenbanktabellen vornehmen möchte, muss ich mein Javascript berücksichtigen. Es fehlt mir auch an Integration und Unit Testing.

Es kann jedoch seine Verwendung haben, wenn Sie schnell eine Website-Funktion für nicht sensible Daten erstellen möchten, ohne die Dienstmethoden und verschiedene Implementierungsebenen erstellen zu müssen.

Answer 3

Was ist, wenn Sie die Metadaten verfügbar machen? Ist das nicht gefährlich? IMHO ist nicht sicher, Metadaten aus dem DbContext verfügbar zu machen. Ich weiß, dass Sie Metadaten auf dem Client erstellen können, aber der Punkt ist, Dinge so schnell wie möglich zu tun (wenn sicher).