Reagieren: Wie sicher eine Komponente zur Anzeige nach Benutzerrolle

Question

Ich versuche, eine Admin-Dashboard in react und Meteor nur angezeigt werden, wenn der aktuellen Benutzer ein Admin ist.

Ich rufe eine Servermethode auf, die die Benutzerberechtigung überprüft und die Admin-Komponente nur dann rendert, wenn diese Methode true zurückgibt.

Dieser Serveraufruf ist asynchron und daher wird die Komponente nicht gerendert, normalerweise verwalte ich diesen asynchronen Anruf mit Status, aber ich möchte hier nichts im Status anzeigen (möchte nicht, dass jemand den Status und den Zugriff ändert) das Admin-Dashboard). Hier

ist der Code:

export default class AdminChecker extends Component { 
    isItAdmin() { 
    // Get the id of current user 
    const userId = Meteor.userId(); 
    if (userId) { 
     // call a server method which returns true if current user is Admin 
     Meteor.call('checkAdminId', userId, (err, authorized) => { 
     if (err) { 
      console.log(err); 
      return null; 
     } 
     return (authorized) ? <AdminDashboard /> : null; 
     }); 
    } 
    } 
    render() { 
    return (
     <div className="admin-temp-container"> 
     {this.isItAdmin()} 
     </div> 
    ); 
    } 
} 

Ich glaube, ich diese Logik in einer übergeordneten Komponente haben kann und das Ergebnis der isItAdmin-adminDashboard als Stütze senden (die adminDashboard Komponente würde nur Informationen angezeigt, wenn seine Requisiten true).

Aber ich bin sicher, wenn das sicher ist. Könnte man die Requisiten mit Chrome reagieren, Entwickler-Tools oder so ähnlich?

Vielen Dank

Answer 1

Ich denke, es gibt zwei Teile dieses (und die Kommentare sind an beiden Hinting):

Zuerst sollten Sie nicht erwarten zu können, die Sicherheit auf dem Client erzwingen. Sie müssen die Zugriffssteuerungslogik auf dem Server implementieren (d. H. Jede API, die eine Administratoraktion ausführt, muss überprüfen, ob der Benutzer, der die Aktion ausführt, ein Administrator ist).

Sobald Sie das getan haben (und vielleicht schon haben), dann müssen Sie wahrscheinlich Requisiten oder Status verwenden, um zu speichern, ob der Benutzer ein Administrator ist oder nicht (genau wie Sie andere Daten in Ihrer App speichern würden) .

Der entscheidende Punkt ist, dass, sobald Sie die Sicherheit auf dem Server erzwingen, es nicht wirklich von Bedeutung ist, wenn ein Benutzer den Status ändert, um zum Admin-Dashboard zu gelangen: Der Server lässt den Benutzer keine echten Daten anzeigen oder nehmen irgendwelche Aktionen sowieso.

Dies ist völlig unabhängig von serverseitigen Rendering. Sie können sicherlich ein sicheres Verwaltungs-Dashboard ohne serverseitiges Rendern erstellen, solange die APIs, die zum Abrufen der Administratordaten und zum Ausführen von Administratoraktionen verwendet werden, ihre eigenen Zugriffssteuerungsüberprüfungen implementieren.