用Java编写的Mongo查询passthru。 安全？ 不好的做法？

Question

我有一个Mongo数据库。 我想为该数据创建脚本化的HTML浏览器-基本上是一个带有搜索过滤器的数据表，并按列功能进行排序。 我想构建本机Mongo查询客户端，并且只让服务器端直接执行那些（任意）查询。 完成了吗 那是不好的做法吗？ 我仍然会实施限制和身份验证。

Answer 1

执行此操作时可能遇到的问题是：

• 用户可能会创建长期运行的查询，从而滥用您的数据库服务器资源
• 用户可能会破坏您的数据（更重要的是，其他用户的数据）
• 用户可以访问他们不应该拥有的数据

如果您可以构思出减轻所有这些问题的方法，那么您可以放心地做自己想做的事情。 我自己在做类似的事情， 除了

答：我只允许任意搜索查询（没有任意更新，这些结构更加结构化）

B.我用额外的结构包装查询，以便用户只能看到他们有权访问的数据

C.我一直在跟踪查询花费的时间，如果花费太长时间则将其终止（有可能在系统中进行更复杂的用户资源限制）