为什么JS不能绕过后端代码直接调数据库,

北京哪家医院的白癜风专科好 http://pf.39.net/bdfyy/bdfzg/150420/4611299.html

主流的关系型数据库,比如MySQL,只能支持到表级别的鉴权。也就是说,一个用户如果被授权访问一张表,那么他就能访问这张表里的所有数据。但是现实中的业务逻辑,通常不希望用户可以访问表里的所有数据。比如查询用户信息的表,通常后端需要写SELECT……FROMusersWHEREuser_id=xxx;这里的WHERE语句相当于一层权限管理,确保一个用户只能访问他自己的信息。如果前端直接操纵数据库,就意味着用户可以篡改一些信息,来查询到他们本不应该能查询到的信息。比如把上述WHERE语句中的user_id替换成其他用户的ID,就可以查询到其他用户的信息。这一点从数据库的权限管理机制上来说是无法限制的。

能不能调数据库,跟语言没关系,跟运行环境有关系。你说的js应该是前端js脚本,在浏览器中运行,写页面特效的,这要是能调数据库,相当于每个用户都能直连数据库,这像话吗?即使你把脚本语言换成java、c++、vb,那也不能干这事。

当然,js在写后端的时候就能调数据库,nodejs就是干这事的,它直接运行在服务器上,调数据库没问题。

之所以不能直接对接到数据库,要中间服务代理一下(graphql也需要“代理”),主要有几个原因:

安全问题:直接暴露数据库连接地址、连接token(不管是密码账号还是中间token),都可能导致数据库被拖库,容易被爆破、篡改

性能问题:数据库SQL的优化很复杂,不是看到的简单select语句、CRUD,分库分表、索引优化都难以在前端实现,即使GraphQL,也需要db的中间层

简单科普一下,MySQL,Postgres这种经典数据库,本身也是分成数据库服务器和客户端两部分的,本地命令行连接数据库也需要安装mysql-client或是pq_ctl这种客户端,然后通过本地的socket或者tcp协议连接数据库服务。

因为浏览器一般只向js提供


转载请注明:http://www.aierlanlan.com/tzrz/2128.html