用Java編寫的Mongo查詢passthru。 安全？ 不好的做法？

Question

我有一個Mongo數據庫。 我想為該數據創建腳本化的HTML瀏覽器-基本上是一個帶有搜索過濾器的數據表，並按列功能進行排序。 我想構建本機Mongo查詢客戶端，並且只讓服務器端直接執行那些（任意）查詢。 完成了嗎 那是不好的做法嗎？ 我仍然會實施限制和身份驗證。

Answer 1

執行此操作時可能遇到的問題是：

• 用戶可能會創建長期運行的查詢，從而濫用您的數據庫服務器資源
• 用戶可能會破壞您的數據（更重要的是，其他用戶的數據）
• 用戶可以訪問他們不應該擁有的數據

如果您可以構思出減輕所有這些問題的方法，那么您可以放心地做自己想做的事情。 我自己在做類似的事情， 除了

答：我只允許任意搜索查詢（沒有任意更新，這些結構更加結構化）

B.我用額外的結構包裝查詢，以便用戶只能看到他們有權訪問的數據

C.我一直在跟蹤查詢花費的時間，如果花費太長時間則將其終止（有可能在系統中進行更復雜的用戶資源限制）