安裝的對象默認ACL和安全問題

Question

我在數據瀏覽器上看到每個新安裝的對象都具有默認ACL'公開讀寫'權限。 什麼是安全風險？ 而且，如果是安全風險，怎麼可能解決呢？

Answer 1

如果您閱讀development guide的安全部分，您​​將看到_Installation表不符合所有正常類的安全規則。

當你結束了一定的安全邊界情況_User和_Installation類進行處理：

安全邊界情況

有幾類特殊的解析不遵守所有相同的安全性與其他班級一樣規則。並非所有的類都遵循類級權限（CLP）或訪問控制列表（ACL）的確切定義方式，並且在這裏記錄這些例外情況。這裏「正常行爲」是指CLP和ACL正常工作，而腳註中描述了任何其他特殊行爲。

要對該表執行Delete或Find操作，您需要主密鑰。這意味着用戶不能在表中搜索特定記錄或刪除一個記錄，除非他們具有主鍵特權。 只有當您知道該記錄的objectId時，才能執行返回特定記錄的Get操作。這可以保護_Installation表中的記錄不被未經授權的用戶轉儲。 因此，默認情況下，任何人都可以創建記錄，只要他們知道它的objectId就可以讀取或更新記錄，但他們將無法刪除記錄或查詢整個表格。

簡而言之，_Installation表有一些基本安全性，它保護記錄免受某些未經授權的訪問，因爲此表中的記錄不跟蹤任何特定用戶。如果您想向表中添加更多字段或將任何記錄與用戶相關聯，則只要您考慮指南中提及的限制，就可以使用ACL權限來自定義此類訪問權限。