MongoDBの$はどのくらい危険ですか？

Question

MongoDBデータベースに2つのコレクションがあり、ユーザーがJSONオブジェクトを送信するために使用できるHTTPサービスがあるとします。

db.public_collection.find(user_json).limit(10) 

これは、書き込みアクセスなしでRBACユーザーによって実行されます。コレクション内の

1. アルターレコード（私はRBACはこれを防ぐと仮定）：オペレータ、できたユーザーは$を使用して

   ？

2. 別のコレクションのレコードを変更しますか？
3. サーバーの速度を低下させたリソース集中型のクエリを実行しますか？

Answer 1

RBACの設定がHTTPサービスへのアクセスを制御します。関数内でmongo findメソッドを使用すると、その特定のコレクションに対する検索操作や読み取り操作以外は許可されません。ユーザが高価なクエリを指定することを排除するものはありません。ただし、1つのコレクションにまたがるクエリは非常に高価ではなく、結果を10に制限しています。

Answer 2

これはお勧めできません。 javacript関数をクエリに挿入することによってサービス拒否攻撃を作成する方法や、ユーザーがアクセスしたくない情報を漏らす方法の例については、Testing for NoSQL InjectionおよびNoSQL injection in MongoDBを参照してください。