开发中React Native应用连接DigitalOcean Managed Database问题咨询

绝对不要尝试让React Native客户端直接连接DigitalOcean托管数据库，这是架构层面的错误，不是白名单配置的问题：

• React Native是运行在用户设备上的客户端代码，所有打包进安装包的数据库连接地址、账号密码都可以通过反编译、抓包轻松获取，一旦泄露任何人都能直接读写你的餐厅业务数据，包括订单、营收、用户信息，安全风险完全不可控。
• DigitalOcean Managed Database的trusted source是基于固定IP做白名单校验的，开发阶段你用的模拟器、测试手机的公网IP是动态变化的，正式上线后所有用户的设备IP更是无法枚举，根本不可能通过加白名单的方式让客户端直连数据库。
• 你现有Web应用能正常运行，本质是部署在Droplet上的后端服务在和数据库交互，Web前端本身也不会直连数据库，移动端的定位和Web前端完全一致，属于客户端层，不应该直接触达数据库。

1. 复用现有后端能力承接所有数据库操作 #

你已经把部署后端的Droplet加到了数据库可信源列表，直接让React Native应用把所有POST/GET请求打到你现有Web服务对应的API接口即可，所有数据库读写逻辑全部放在后端实现，移动端只负责传参、接收接口返回结果，和Web前端调用接口的逻辑没有区别。
React Native端发POST请求的基础示例：

// 以提交餐厅预订信息的接口为例
const submitReservation = async (reservationInfo) => {
  try {
    const response = await fetch('https://你已部署的服务域名/api/reservation/create', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/json',
        // 后续接口加鉴权的话，在这里带token即可
        // 'Authorization': `Bearer ${userToken}`
      },
      body: JSON.stringify(reservationInfo)
    })
    const result = await response.json()
    return result
  } catch (error) {
    console.error('请求失败：', error)
  }
}

如果你习惯用axios，直接替换成axios的写法即可，逻辑完全一致。

2. 开发调试阶段常见问题排查 #

如果本地开发时请求发不出去，优先排查这几个高频问题：

• 本地调试时如果连的是你电脑上跑的开发版后端，不要写localhost：安卓模拟器访问宿主机本地服务要用10.0.2.2，iOS模拟器可以直接用127.0.0.1；用真机调试的话，保证手机和电脑连同一个WiFi，填你电脑的局域网IP即可。
• 安卓端默认禁止明文HTTP请求、没有网络权限，需要在项目的android/app/src/main/AndroidManifest.xml中添加配置：

<!-- 加网络访问权限 -->
<uses-permission android:name="android.permission.INTERNET" />
<application
  <!-- 允许本地调试时的HTTP请求，正式上线前删除这行 -->
  android:usesCleartextTraffic="true"
  ...其他原有配置>
</application>

• iOS端需要在ios/项目名/Info.plist中配置允许访问的服务域名，本地调试时可以添加本地地址的放行配置。

3. 白名单相关配置说明 #

你不需要给React Native应用做任何数据库白名单配置，只需要保证两个点即可：

• 部署API服务的Droplet已经在DigitalOcean Managed Database的可信源列表中
• 你的API接口做好鉴权校验（比如登录后下发token、接口校验请求签名），避免接口被恶意调用

• 不要为了省事儿在React Native项目里引入pg、mysql这类数据库驱动直连数据库，哪怕是临时开发调试也不要这么做，除了之前提到的安全问题，后续正式上线也会因为用户IP不固定完全无法使用。
• 不要把数据库连接串、账号密码硬编码在React Native代码里，安装包逆向后这些信息会完全暴露。
• 如果开发阶段需要手动查库调试，只需要把你当前办公网络的公网IP临时加到数据库可信源，用本地数据库客户端连接即可，调试完成后及时把这个IP从白名单移除。

内容的提问来源于stack exchange，提问作者Mizanur Rahman