Зачем нужен rest api?

luna89

6yrop

6yrop

row level security

luna89

Сервер всё же полезная в хозяйстве вещь. Он может повыполнять какой-нибудь полезный код.

luna89

Какая это работает? Например, строки пользователь не может видеть, а их сумму (или более сложную функцию) может.

6yrop

процедуры, которая будет вставлять в таблицу личных сообщений и в таблицу email.

Dasar

psm-home

zya369

Hastya

Надо ли мне делать rest api, либо просто сделать http обертку, которая даст возможность отправлять по http любые sql запросы?

luna89

Где и как будет идентифицироваться пользовать от чьего имени выполняется запрос?

> Заводим cron job [..] выгребает email, которым требуется отправка, шлет их и ставит статус "отправлено"
С каким периодом будет запускаться этот job?

luna89

Как решится вопрос с обновлением кода сервера без простоя и с несколькими версиями кода, работающими одновременно (если конечно тебе такое надо)?

Если надо будет сделать HA или данные перестанут влезать на один сервер СУБД, то что делать?

luna89

Как ты собираешься отдавать с сервера структуры сложнее табличных? Допустим деревянное что-то, оно у тебя на клиента поедет в виде таблицы со ссылкой на родителя?

zya369

При редактировании, мы сначала меняем данные в локальной БД, и затем делаем sync - из локальной базы удаленные/измененные/добавленные строки отправляются на сервер.

evgen5555

luna89

а писать sql-crud'ы для телефона - это прошлый век

GET /threads/:id/posts/byDate/desc

select * from posts where thread_id=:id order by date desc

6yrop

evgen5555

Dasar

HTTP прослойка извлекает credentials из кук, логинится в БД из-под пользователя и делает от его имени запросы.

Dasar

luna89

1. Ради безопасности

6yrop

хотя бы одна забыла проверить права доступа, то можно украсть данные через эту процедуру.

Dasar

В моем решении, права доступа - свойство самих данных, а не процедур для работы с ними.

luna89

И как ты это реализуешь, например, для тредов и сообщений приват-разделов? И на основе какой БД?
Каждое сообщение (запись в таблице) такого раздела должна быть видна определенному набору пользователей, но не видна всем остальным.

Dasar

Dasar

luna89

Получается любой пользователь может положить всю базу - сделав просто запрос: select * from message (или любая другая большая таблица)

luna89

6yrop

бойлерплейт

zya369

luna89

как ты ID для новых сообщений в удаленной базе синкать с локальными?

как будет, скажем, выглядеть вход на форум через, скажем, вконтактик (нонче это модно)?

credentials в куках => любой прохожий сможет их узнать, если ты забыл залочить экран отходя от компа?
куки доступны из javascript-а + слабоконтролируемый тобой контент => когда-нибудь твои куки тупо утекут к вежливым людям (вспоминаем ежика (?) и его юзер-скрипт)

приват - это одна строчка?
если да, то у кого есть права на ее модификацию? или нужен уже не row-level, а cell-level?

luna89

luna89

в C#+ReSharper боллерплайт не проблема, даже наоборот когда явно прописан весь трубопровод, то можно сделать вставку в любое место трубопровода, что часто требуется, а не искать в поисковике какую настройку фрейворка или посгреса надо крутить

zya369

аутентификация перекладывается на http прослойку

credentials в куках => любой прохожий сможет их узнать, если ты забыл залочить экран отходя от компа?
куки доступны из javascript-а + слабоконтролируемый тобой контент => когда-нибудь твои куки тупо утекут к вежливым людям (вспоминаем ежика (?) и его юзер-скрипт)

Я ничего не понял.

Уверен, что в текущей реализации форума приват - одна строчка (author, recipient, message, date).

Пользователь может редактировать приват, если author = current_user.

6yrop

Действительно, зачем изучать готовые решения - можно все самому на C#+Resharper написать, и бойлерплейт не проблема.

YUAL

далее, ты предлагаешь эту инфу юзать из ява-скрипта => любой ява-скрипт код, так или иначе оказавшийся на странице, может эту инфу считать и послать куда надо

zya369

YUAL

luna89

ты вообще приватами на форуме пользовался?

drop table if exists private_message cascade;

drop table if exists inbox;

drop table if exists outbox;

drop view if exists my_inbox;

drop view if exists my_outbox;

drop role if exists forumuser;

drop user if exists "";

drop user if exists "";

drop user if exists "";



-- Роль для обычных пользователей форума

create role forumuser nologin;



-- Тестовые пользователи

create user "" in role forumuser;

create user "" in role forumuser;

create user "" in role forumuser;



/*

Таблица сообщений. Фиксирует тот факт, что некий пользователь отправил

сообщение другому пользователю. Таблица работает только на добавление.



Таблица не видна forum_user

*/

create table private_message(

  id serial not null primary key,

  author text not null,

  recipient text not null,

  message text not null

);



/*

  Таблица входящих сообщений. Фиксирует тот факт, что некое сообщение из

  private_message есть в инбоксе у того пользователя, которому оно отправлено.

  Эта и следующая таблицы нужны, чтобы пользователи могли чистить свои ящики

  независимо друг от друга.



  Таблица не видна forumuser

*/

create table inbox(

  private_message_id integer primary key,

  foreign key(private_message_id) references private_message(id)

);



/*

 То же самое, что и inbox, но для исходящих сообщений

*/

create table outbox(

  private_message_id integer primary key,

  foreign key(private_message_id) references private_message(id)

);



/*

  Пара вьюх - входящие и исходящие сообщения - которые представляют API на

  чтение сообщений для forumuser, который может делать любые select запросы к

  этим вьюхам - чужих сообщений он все равно не увидит.

*/

create view my_inbox with (security_barrier) as

select

  private_message_id, author, recipient, message

from private_message pm, inbox

where inbox.private_message_id = pm.id and pm.recipient = session_user;

grant select on my_inbox to forumuser;



create view my_outbox with (security_barrier) as

select

  private_message_id, author, recipient, message

from private_message pm, outbox

where outbox.private_message_id = pm.id and pm.author = session_user;

grant select on my_outbox to forumuser;



/*

  Посылка сообщений. Благодаря security definer процедура выполняется из-под

  рута, поэтому она может вставлять в таблицы private_message, inbox, outbox,

  но права на исполнение процедуры есть у forumuser.

*/

create or replace function send_message(

  msg text,

  recip text

) returns void as $$

  with new_message as (

    insert into private_message(message, author, recipient)

    values(msg, session_user, recip)

    returning id

  

  new_inbox as (

    insert into inbox(private_message_id) select id from new_message

  )

  insert into outbox(private_message_id) select id from new_message;

$$ language sql security definer;

grant execute on function send_message(text, text) to forumuser;

zya369

luna89

ЗЫ понятно, что приваты можно сделать на вьюхах и хранимках - не очень понятно, в чем тут "принципиальное" отличие от прослойки на любом другом языке.

 

select * from issues where issue_id not in (

  select target_issue_id from issue_links where link_type='block'

)

 

serega1604

luna89

Dasar

На сайте джиры написано, что у них самые большие инсталляции - пара сотен тысяч задач. То есть объемы данных смешные, все влезает в память моего мобильного телефона.

serega1604

На сайте джиры написано, что у них самые большие инсталляции - пара сотен тысяч задач.

6yrop

serega1604

6yrop

serega1604

Java по сомнительным причинам оборачивает SQL, в итоге получаются тормоза.

6yrop

6yrop

Насколько я помню даже controllable query был создан тобой именно для решения этой задачи - упросить оборачивание SQL.

serega1604

serega1604

Controllable Query не оборачивает SQL. Работаешь напрямую с SQL.

serega1604

http://data.stackexchange.com/stackoverflow/query/new

6yrop

из веб-интрефейса?