フェザー - 現在のユーザーのみが所有するデータに対するサービス応答を制限する

Question

フェザーでは、特定のサービスでアクセス可能なデータを、現在ログインしているユーザーが所有するデータに制限することを目標としています。

私がFeathers認証を使用していると仮定すると、このサービスで利用可能なデータはデータベーステーブルに格納され、ユーザーIDを含むテーブル列はuser_idと呼ばれます。

変更しない場合はどうすればよいですか？

質問に答えることが重要な場合は、SequelizeとPostgresを使用しています。

const { authenticate } = require('feathers-authentication').hooks; 

const { queryWithCurrentUser } = require('feathers-authentication-hooks'); 
const { associateCurrentUser } = require('feathers-authentication-hooks'); 

const readRestrict = [ 
    queryWithCurrentUser({ 
    idField: 'id', 
    as: 'user_id' 
    }) 
]; 

const modRestrict = [ 
    associateCurrentUser({ 
    idField: 'id', 
    as: 'user_id' 
    }) 
]; 

module.exports = { 
    before: { 
    all: [ authenticate('jwt') ], 
    find: [ ...readRestrict ], 
    get: [ ...readRestrict ], 
    create: [ ...modRestrict ], 
    update: [ ...modRestrict ], 
    patch: [ ...modRestrict ], 
    remove: [ ...modRestrict ] 
    }, 

    after: { 
    all: [], 
    find: [], 
    get: [], 
    create: [], 
    update: [], 
    patch: [], 
    remove: [] 
    }, 

    error: { 
    all: [], 
    find: [], 
    get: [], 
    create: [], 
    update: [], 
    patch: [], 
    remove: [] 
    } 
}; 

動作するようですが、私は羽がnoobのだので、私はこれは私がそれに気づかないよ何も例がないことを確認するために野生に入れられる前に、私はより良いチェックをしようと思いました漏れの原因となります。

Answer 1

羽毛の初心者で表現すると、わかりません。さて、上記のようにすべての作品。 removeについては

旧回答

、私はrestrictToOwnerを使用。 （私はpatchとupdateと思っていますが、それは既存のデータで動作するためですが、私はそれをテストしませんでした） それ以外の場合は、IDを指定してデータをクロス削除できました。これがあなたの場合であるかどうかを確認することもできます。

これはテストケースである：

1. ユーザ1は、物体
2. ユーザ2を特定するための認可
3. オブジェクトIDを確認する
   • ユーザIDとモデルオブジェクトを作成オブジェクトIDを持つオブジェクトを削除します
     • 試験OK：404予想
     • テストが失敗：204または200は、オブジェクトを取得する
   • ユーザ1回の試行を働い
     • 試験OK：オブジェクト200
     • テストは失敗し、ある物体、存在しない404

テストコード：

• test_cannot_cross_delete

ありがとうございました、あなたのポストは、私にとって本当に便利でした！