翻译 Meteor React 制作 Todos - 10 - 方法的安全性

方法的安全性

在这个步骤之前，这款应用的任何用户都可以修改数据库的任何部分，在一个非常有意思的小项目或者演示项目中可能已经不错了，但是任何一个真实的应用都需要对这些数据进行权限控制。
在Meteor上，最好的方法就是通过声明方法。以此来直接取代客户端的代码。这些方法叫做insert,update,还有remove，这将会替换执行的方法。它将会确认用户是否有权限完成这么一整套操作。那么随后在客户端中做出的任何对客户端的改变都会发给数据库

移除 insecure

每一个新创建的Meteor项目都被默认的添加了insecure包。这个包允许我们从客户端中编辑数据库。在做产品原型的时候这个包非常的有用，但是现在我们得关掉这个备胎。要移除这个包，我们得去应用目录下执行

meteor remove insecure

如果在移除这个包之后你试着去使用这款应用，你将会看到输入框或者是按钮都不能用了，这是因为所有的客户端数据库的权限被取消了，现在我们需要在我们的应用中通过使用一些方法来重写一些部分

定义一些方法

首先我们需要定义一些方法，我们需要一个方法，这个方法为我们定义了每个数据库想在客户端执行的所有操作。这些方法应该用代码定义，可以同时在客户端和服务端执行 -- 我们会晚点儿在标题为“乐观的界面”的章节中继续讨论

// simple-todos-react.jsx文件

    React.render(<App />,document.getElementById("render-target"));
  });
}

// 添加开始
Meteor.methods({
  addTask(text) {
    // 在插入之前确保用户已经登陆
    if (! Meteor.userId()) {
      throw new Meteor.Error("not-authorized");
    }
 
    Tasks.insert({
      text: text,createdAt: new Date(),owner: Meteor.userId(),username: Meteor.user().username
    });
  },removeTask(taskId) {
    Tasks.remove(taskId);
  },setChecked(taskId,setChecked) {
    Tasks.update(taskId,{ $set: { checked: setChecked} });
  }
});
// 添加结束

现在我们定义了我们的一些方法。我们需要去更新一些地方。我会要用刚刚定义好的方法去操作数据库，而不是默认的。

// App.jsx文件中

// 通过React的ref属性来找到文本的字段
var text = React.findDOMNode(this.refs.textInput).value.trim();

// 添加开始
Meteor.call("addTask",text);
// 添加结束

// Clear form
React.findDOMNode(this.refs.textInput).value = "";

// Tasks.jsx文件中
 
toggleChecked() {
  // 设置确认值为当前属性的相反值
  // 添加下一行
  Meteor.call("setChecked",this.props.task._id,! this.props.task.checked);
},deleteThisTask() {

    // 添加下面一行
  Meteor.call("removeTask",this.props.task._id);
},render() {

现在，我们的输入和按钮又能用了，我们从这些工作中收获了什么呢？

1. 当我们向数据库插入数据的时候，现在我们已经可以安全的验证用户是否登录，createdAt字段是不是正确，owner和username字段是不是正确。一个用户不能模仿任何人了。

2. 当用户想让任务成为隐私性质的时候。我们可以在后面的步骤中给setChecked和deleteTask添加额外的验证逻辑

3. 我们的客户端代码和数据库逻辑更加的分离了。取代了许多在事件监听被触发的时候的杂事。现在我们有了可以在任何地方被调用的一些方法。

乐观的UI

那么我们为什么要在服务端和客户端定义我们自己的方法呢。我们做这些是为了开启一个我们称之为“乐观的UI”的特性。

当我们在客户端嗲用Meteor.call方法的时候，在这个时间点将会发生两件事情。

1. 客户端向服务器端发送一个在安全环境下的请求。就像是AJAX那样的运行的请求。

2. 一个方法模拟器直接会在客户端运行。它试图通过已有的信息来预测服务端返回的结果

这就意味着来自后端(服务器端)的结果到达客户端之前，新创建的任务已经实际地在屏幕上展现出来了。

如果从服务端返回的结果和在客户端模拟的结果一致，一切仍然像之前所展现的一样。
如果从服务端返回的结果和在客户端模拟的结果不一致，那么界面将会补充上来自服务端的真实状态的反应。

掌握了Meteor的一些“方法定义”和”乐观的UI“，你就得到了两个世界的精髓 -- 服务端代码的安全保护和无传输延迟(no round-trip delay)。阅读blog post about optimistic UI可以了解更多这方面的知识