parse.com JavaScript注册安全性

由于javascript api键在客户端源代码中可见，如何防止虚假注册？我已经阅读了类级权限和ACL，但对于注册，用户需要输入并保存用户名和密码作为开始。
有人可能会很容易地继续向Someone parse.com应用程序添加假用户/数据。我知道这可能会发生在其他系统上，但对于parse.com，开发人员必须注意产生的数据成本，并且不要忘记每秒的请求。那么如何预防呢？当然，有某种机制可以阻止这种情况，如果parse.com自己的系统没有简单的方法来阻止，它就不应该向开发者收费

如果您尝试在浏览器中从桌面运行此html注册，则可以继续添加用户：- 编辑

规则
身体{
填充顶部：20px；
填充底部：40px；
}
/*定制集装箱*/
.货柜狭窄{
保证金：0自动；
最大宽度：700px；
}
.集装箱狭窄>人力资源{
利润率：30px0；
}
/*主营销信息和注册按钮*/
琼伯伦先生{
边际：60px0；
文本对齐：居中；
}
jumbotron h1博士{
字体大小：72px；
线高：1；
}
.jumbotron.btn{
字号：21px；
填充：14px 24px；
}
.市场营销{
边际：60px0；
}
.市场营销p+h4{
利润上限：28px；
}
初始化（“他们从你的应用程序/网站获得的应用程序ID”，“他们从你的应用程序/网站获得的Javascript密钥”）；
//#################################################################################################
$（文档）.ready（函数（）{
Parse.User.logOut（）；
$（“#提交”）。单击（函数（）{//捕获单击
//解析
var user=new Parse.user（）；
user.set（“username”，$（'input[name=username]）.val（））；
user.set（“password”，$（'input[name=password]'）.val（）；
user.set（“email”，$（'input[name=email]'）.val（））；
//其他字段可以像Parse.Object一样设置
//用户设置（“电话”，“415-392-0202”）；
user.signUp（null{
成功：功能（用户）{
//万岁！让他们现在就使用这个应用。
var name=user.get（“用户名”）；
警报（名称）；
},
错误：函数（用户，错误）{
//在某个地方显示错误消息，然后让用户重试。
警报（“错误：+Error.code+”“+Error.message”）；
}
});
});
});

注册







注册

我使用添加到注册页面的google recaptcha v2和一些服务器端云代码，解决了我们网站上的虚假注册问题，步骤如下：

在google recaptcha注册你的域名，你会得到两个密钥，一个密钥站点和一个密钥。Google recaptcha将仅在指定的域和本地主机上工作

• 站点密钥进入HTML
• 安全密钥用于在服务器云代码上与google通信

• 确保您使用google recaptcha v2

将site key和recaptcha小部件集成到html中，web上有许多关于如何实现这一点的示例

当用户提交recaptcha时，网站会收到谷歌的回复。如果谷歌的机器学习recaptcha怀疑你，那么它将提出一项挑战，证明你是人类

通过挑战后，google会向您的网站发送一个响应令牌

在解析注册时，将令牌和用户详细信息一起发送到云代码

在保存触发器之前的云代码中，将令牌连同您的密钥一起发送到google（请参见下面链接中的云代码）

Google将验证令牌，响应将指示令牌是否有效

---

请参阅以下文章，其中我包含了服务器端需要的云。非常容易设置。

欢迎使用SO。请访问查看询问的内容和方式，谢谢…只有在您自己制作的页面/应用程序中调用云代码时，才会运行云代码。但有些人仍然可以通过创建自己的页面、使用API密钥绕过云代码，然后开始用假用户填充数据库？这是不正确的，你看过文档了吗？你忘记了你需要发送Google recaptcha令牌作为解析注册过程的一部分（上面的步骤），在保存用户之前，该令牌在服务器端用于使用您的密钥向google进行身份验证。Recaptcha仅适用于注册域和本地主机。你可以使用localhost来填充一个满是假用户的数据库，但这将是一个非常耗时的手动过程，recaptcha将检测到来自同一主机的多个“我是人类”尝试，并将让用户进行额外的验证检查。我真的非常感谢你的帮助和时间，但我没有；我不认为你理解我。我的意思是，任何人都可以创建自己的页面，并在从应用程序/网站获得API密钥后继续添加用户。我已经编辑了这个问题