如何使Blaze（Meteor的模板引擎的獨立部分）使用動態下載的模板

Question

我正在使用獨立的Blaze進行動態渲染的模板。到目前爲止，我對它的大部分都很滿意，它能夠快速完成細粒度的dom更新非常棒。

我在哪裏想到如何處理這種情況，我通過ajax下載了一個模板，並且需要進行解析才能將其注入到我的前端。

我之所以這麼做，是因爲我不希望我的SPA的部分模板需要身份驗證才能下載，直到適當的用戶登錄爲止。例如，管理員頁面永遠不會爲普通用戶下載。

不要打擾告訴我我在做安全性錯誤，我已經對每個API請求都使用零信任模型，但我想要的是另一種方式的零信任模型，如果您不是通過身份驗證，您甚至不會看到該模板。

Answer 1

我遇到了一個可能的替代解決方案，讓問題有點側面。

我的問題是，我不希望管理員頁面和其他模板在dom檢查器中可見。我寧願不加載它們，但我還沒有解決這個問題。

但是我發現的是，一旦Blaze加載模板，您可以從dom中刪除實際的模板代碼，並且blaze仍然會正確渲染它們。

這至少讓我混淆了那些東西。一個有進取精神的黑客通過監控網絡流量仍然能夠獲得這些模板，但至少他們沒有公開。

使用此方法的正確安全性仍需要縮小和混淆客戶端代碼，最好通過服務器上的ACL進行保護，並調用一個使用某種形式的ACL驗證的API。