流星 - 如何隐藏使用的流星版本

Question

我想问一下,出于安全原因 - 我们应该能够从页面源部分和其他无头浏览器/ curl请求中删除meteor_runtime_config部分中的流星版本信息,如下所示:

__meteor_runtime_config__ = {"meteorRelease":"METEOR@1.0.3.1"...

特别是以便不利用已知的漏洞.这为开发人员提供了一些时间来捕获新版本,特别是对代码的更改.

在2014年的博客文章中,据报道有31个应用程序删除了版本号,因此可以这样做.

Answer 1

一个技巧是__meteor_runtime_config__.meteorRelease在启动阶段清空.

Meteor.startup( function() {
    __meteor_runtime_config__.meteorRelease = undefined;
});

您还可以meteorRelease在<application>/bundle/programs/server/config.json部署应用程序之前删除分配给的字符串.该信息从该配置文件中提取,该文件由Meteor在构建应用程序时生成.