关于解析安全
On Parse security
也许有人可以通过confirming/refuting以下场景帮助我更好地理解 Parse 的 ACL 机制：
- 用户 A 创建对象并向用户 A 和 B 授予 read/write 权限。
- 用户 B 可以获取对象，从 ACL 中删除 A，然后保存它。
- 因此，A（对象的创建者）无法再更改甚至找到该对象。
如果这是正确的，我认为这是一个安全问题。有没有一种方法可以防止客户端更改对象的 ACL，以便我可以完全在 Cloud Code 中管理 ACL？
编辑： 正如 Mazel Tov 所指出的，处理此问题的一种方法是禁止任何直接客户端访问，而是仅使用 Cloud Code（主密钥覆盖）访问数据。我不认为这是一个可行的解决方案，因为这种方法放弃了 Parse 的大部分优势。 ACL 是控制访问权限的一种很好的方法，但是——至少在某些使用环境中——赋予客户端覆盖这些设置的权力似乎很危险。
所以对我来说问题仍然存在：如果 Parse 的 ACL 理论上允许任何对对象具有写访问权限的用户操纵所有其他用户的访问权限，没有其他人认为这是一个安全问题吗？
对于处于类似情况的其他人：我没有找到解决这个问题的方法（至少对我来说这是一个问题，而不是 "opportunity"），所以我最终使用 ACL 来控制读取访问仅（所有写访问都是私有的），以及 运行 我自己的服务器端权限系统，具有 lots 的 Cloud Code 函数，用于各种写访问。
也许有人可以通过confirming/refuting以下场景帮助我更好地理解 Parse 的 ACL 机制：
- 用户 A 创建对象并向用户 A 和 B 授予 read/write 权限。
- 用户 B 可以获取对象，从 ACL 中删除 A，然后保存它。
- 因此，A（对象的创建者）无法再更改甚至找到该对象。
如果这是正确的，我认为这是一个安全问题。有没有一种方法可以防止客户端更改对象的 ACL，以便我可以完全在 Cloud Code 中管理 ACL？
编辑： 正如 Mazel Tov 所指出的，处理此问题的一种方法是禁止任何直接客户端访问，而是仅使用 Cloud Code（主密钥覆盖）访问数据。我不认为这是一个可行的解决方案，因为这种方法放弃了 Parse 的大部分优势。 ACL 是控制访问权限的一种很好的方法，但是——至少在某些使用环境中——赋予客户端覆盖这些设置的权力似乎很危险。
所以对我来说问题仍然存在：如果 Parse 的 ACL 理论上允许任何对对象具有写访问权限的用户操纵所有其他用户的访问权限，没有其他人认为这是一个安全问题吗？
对于处于类似情况的其他人：我没有找到解决这个问题的方法（至少对我来说这是一个问题，而不是 "opportunity"），所以我最终使用 ACL 来控制读取访问仅（所有写访问都是私有的），以及 运行 我自己的服务器端权限系统，具有 lots 的 Cloud Code 函数，用于各种写访问。