asp.net-web-api – Hot Towel / Durandal / Breeze.js：如何垂

现在我已对其进行了排序,我对垂直安全性感到非常头疼：一个用户登录但可以通过更改浏览器控制台中的一些参数轻松访问其他用户的信息.我可以在每次调用时传递userId,然后将其与服务器上的那个进行比较,但我希望有一个总体解决方案,不会污染用户ID的微风数据调用.

例如,假设有来自数据服务的调用,如下所示：

function getItems(){        
         var query = breeze.EntityQuery.from('Items').expand("Person");
         return manager.executeQuery(query);
}

这将得到所有项目,不好.所以让我们用userId来限制：

function getItems(userId){        
         var query = breeze.EntityQuery.from('Items').where("userId","==",authentication.userId).expand("Person");
         return manager.executeQuery(query);
}

在第二个示例中,我们从身份验证服务获取userId,该服务在用户登录时存储userId.但是,恶意用户可以轻松访问浏览器控制台并更改该值.

当然,我可以使用withParameters(…)传递userId并将其与服务器上的当前版本进行比较,但是我必须为每次调用执行此操作,这似乎不对.有没有更好的方法来保护具有可信用户ID的呼叫？