Leancloud javascript sdk做用户系统的思路？

Question

使用Javascript SDK的AVUser来做用户系统让我很困扰。看起来AVUser的API让人可以做login/SignUp等一系列的operation，但是在浏览器端做用户authentication不会非常危险么？如果有心人用浏览器控制台debug模式去操作使得每次login都成功岂不是就可以拿到所有用户密码保护的资源？（我没试过但是感觉这个应该是可行的，毕竟浏览器对网页上面运行的js有完全控制）

除非Leancloud的Javascript SDK可以用于node.js后台（貌似也是可以的），这样用户authentication就可以在后台做了，但是AV.User是使用localStorage来做用户session，在node server里面是没有localStorage的，除非你mock一个出来。

而且在一个node后台任何里面带有用户session操作的user op都是没有意义的。我想像不出来如何在后台使用AV.User。有没有哪个朋友有这方面的经验分享一下，感激不尽！

Answer 1

你知道hybrid APP么？ 所以leancloud JS SDK是那些原来懂HTML现在要来做APP的准备的。他们可以用phoneGAP+HTML5+CSS+JS来开发IOS/Andirod/Web应用。

而且关于你说的AV.User，你仔细去读云文档，就会知道他们提供了一个其他的函数让你能得到当前的用户。

Answer 2

首先请阅读官方的安全文档 https://leancloud.cn/docs/data_security.html

然后可以在客户端随意注册、登录，难道目前其他的程序你就不能随意注册和登录，就不能注册些马甲么？
每个用户只能获取自己权限控制内的数据即可，当然是要有自己的权限控制的，不过你也可以严格要求必须验证短信。
这些 LeanCloud 都是支持的。