关于网站服务端，写一个提供 REST api 的服务器，还是直接操作 mongodb?

[timqian]

前些日子尝试了 meteor 虽然最后因为种种原因没有在项目中使用它，但感觉在前端直接操纵 mongodb 的感觉挺爽的。最近做项目的时候，考虑要不要使用这种方式。 google 了一番在 github 发现了这个项目： express-restify-mongoose。它把对 mongodb 的操作暴露成了 rest 接口。这样就可以用 http 请求对 mongodb 做所有操作。省去了开发 REST api server 的工作。
（关于 API 的安全性，还没有细看，但应该可以在用户请求路由时对用户进行认证和限制）
大家觉得这种方式怎么样？

[xufang]

MEAN JS 可能是你想要的。

[odirus]

用来学习还是可以的，但是如果是商业项目，尽量不要。

[timqian]

@odirus 谢谢回复，有什么缺点呢？能简单说说吗

[odirus]

@timqian 既然你直接在浏览器里面操作后面的数据，那其他人也能，现在的 js 反压缩工具太多了。所以如果是商业项目，很可能会被竞争对手注入某些东西直接擦除数据。

[odirus]

@timqian 无论是采用 Rest Api 还是其他方式，更主要的目的是对操作进行权限认证。

[ghostheaven]

从灵活性可扩展角度，应该用 restful 包一层

[Kilerd]

在前端直接操作 mongo ？ 怎么做权限认证？ 别闹好吗？

[timqian]

@odirus 这个问题应该可以解决的。可以根据用户的权限来限制路由的访问（后端，操作数据库之前），并且把所有没用到的路由都封起来。

[timqian]

@Kilerd 并不是直接操作，是自动暴露出 rest 接口，权限认证可以在操作之前做的

[cnhongwei]

@timqian 用户及权限我想也是保存在 mongo 中的，前端都可以直接访问了，权限很有可能被改写掉。当然你可以说，我可以考虑的很周全。不过，多大的公司都出过安全漏洞。所以，前端直接访问数据库和直接把数据库开放给所有人基本没有区别，况且还是一般只考虑性能，不考虑安全的 nosql 。