如何在Parse-Server 2.3.8中阻止REST调用，仅允许云函数调用？

当然可以实现！不管是针对特定类还是全局所有类，都有对应的可行方案，下面分情况给你详细说明，同时兼顾你当前的2.3.8版本和后续升级后的优化方向：

一、针对特定类的限制方案 #

方法1：类权限设置+云函数使用Master Key #

这是最直接省心的方式，适合单个或少数类的场景：

1. 打开Parse Dashboard找到目标类，进入Security标签页
2. 把Public Read Access和Public Write Access都设为false，同时移除所有角色的读写权限
3. 在你的云函数中操作该类数据时，添加useMasterKey: true参数来绕过权限限制，示例代码如下：

Parse.Cloud.define('updateMyClass', async (request) => {
  const MyClass = Parse.Object.extend('MyClass');
  const obj = new MyClass();
  obj.set('field', 'testValue');
  // 用master key确保云函数能正常操作数据
  return obj.save(null, { useMasterKey: true });
});

这样一来，所有直接的REST调用（不管是客户端还是第三方发起）都会因权限不足被拒绝，只有通过云函数才能正常操作该类数据。

方法2：通过触发器拦截非云函数请求 #

如果需要更精细的控制（比如允许部分REST操作但拦截核心操作），可以给类添加beforeSave/beforeDelete/beforeFind触发器，在里面检查请求来源：

// 针对MyClass的beforeSave触发器，拦截非云函数的保存请求
Parse.Cloud.beforeSave('MyClass', (request) => {
  // 2.3.8版本中，可通过请求上下文或请求头判断是否来自云函数
  const isFromCloud = request.context && request.context.isCloudFunction;
  // 备选方案：检查云函数调用自动携带的请求头
  // const isFromCloud = request.headers['X-Parse-Cloud-Invocation'] !== undefined;
  
  if (!isFromCloud) {
    throw new Parse.Error(Parse.Error.PERMISSION_DENIED, '仅允许通过云函数修改该类数据');
  }
});

// 同理，给beforeDelete、beforeFind添加类似逻辑
Parse.Cloud.beforeDelete('MyClass', (request) => {
  const isFromCloud = request.context && request.context.isCloudFunction;
  if (!isFromCloud) {
    throw new Parse.Error(Parse.Error.PERMISSION_DENIED, '仅允许通过云函数删除该类数据');
  }
});

二、全局所有类的限制方案 #

如果你想对所有类统一限制，不让任何REST调用直接操作数据，可以用以下两种方式：

方法1：全局触发器 #

Parse Server支持全局触发器，对所有类生效：

// 全局beforeSave钩子，拦截所有非云函数的保存请求
Parse.Cloud.beforeSave((request) => {
  const isFromCloud = request.context && request.context.isCloudFunction;
  if (!isFromCloud) {
    throw new Parse.Error(Parse.Error.PERMISSION_DENIED, '所有数据操作仅允许通过云函数进行');
  }
});

// 全局beforeDelete和beforeFind同理
Parse.Cloud.beforeDelete((request) => {
  const isFromCloud = request.context && request.context.isCloudFunction;
  if (!isFromCloud) {
    throw new Parse.Error(Parse.Error.PERMISSION_DENIED, '所有数据删除仅允许通过云函数进行');
  }
});

方法2：自定义中间件（适合新版本） #

如果你后续升级到4.x+的Parse Server版本，推荐用自定义中间件直接拦截请求，效率更高：

// 在Parse Server初始化时添加中间件
const parseServer = new ParseServer({
  // 你的其他配置项...
  middleware: (req, res, next) => {
    // 判断是否是云函数/任务的调用请求
    const isCloudCall = req.path.startsWith('/functions/') || req.path.startsWith('/jobs/');
    // 判断是否是直接操作类的REST请求
    const isClassRestCall = req.path.startsWith('/classes/');
    
    if (isClassRestCall && !isCloudCall) {
      res.status(403).send({ error: '仅允许通过云函数操作数据' });
      return;
    }
    next();
  }
});

三、版本升级后的注意事项 #

升级到新版本后，优先推荐类权限+云函数Master Key的方案，或者新版本的全局中间件——新版本对权限控制和请求上下文的处理更完善，安全性也更高，而且request.context.isCloudFunction的判断逻辑会更可靠，不需要依赖请求头检查。

内容的提问来源于stack exchange，提问作者Majid