mongodb - 在 Mongo 集合上运行任意查询有多糟糕

Question

我正在考虑允许用户输入自定义 JSON 查询，这些查询将直接解析为 python 字典并作为filterpymongo集合的 find方法的参数传递。唯一的验证将是所提供的 JSON 数据的有效性。该方法引发的所有异常find都将被捕获和处理。

我的担忧是，

• 用户可以操作（即更新或删除）集合中的数据吗？
• 用户可以访问其他集合中的数据吗？
• 这是一个坏主意吗？

另一种选择是我编写一个广泛的 JSON 模式，指定允许使用什么样的键、运算符和值。

标签： mongodbpymongo