关于Meteor.user()仅返回当前用户的问题咨询（使用Meteor accounts package）

嘿，这个问题其实是Meteor Accounts包的设计初衷哦，我来给你拆解清楚：

为什么Meteor.user()只返回当前用户？ #

Meteor.user()这个函数的定位就是专门用来获取当前登录用户的信息的。从安全角度出发，Meteor默认只会把当前用户的公开数据同步到客户端——毕竟没人希望自己的敏感信息（比如密码哈希、第三方登录凭证）随便被其他客户端获取到对吧？默认同步的字段一般包括_id、emails（如果用户设置了邮箱）、profile这些公开属性。

如果需要获取其他用户的信息怎么办？ #

如果有业务需求要查看其他用户的数据，得通过「服务端发布+客户端订阅」的方式来实现，举两个常见的场景：

场景1：获取所有用户的基础信息 #

在服务端代码里添加发布函数：

// 服务端
Meteor.publish('publicUsers', function() {
  // 只返回安全的公开字段，比如profile、_id，绝对不要返回services字段！
  return Meteor.users.find({}, { fields: { profile: 1, _id: 1, username: 1 } });
});

然后在客户端订阅这个发布：

// 客户端
Meteor.subscribe('publicUsers');
// 现在就可以用Meteor.users.find()查询所有用户了
const allUsers = Meteor.users.find().fetch();

场景2：获取单个特定用户的信息 #

如果只需要某一个用户的数据，可以做更精准的发布：

// 服务端
import { check } from 'meteor/check';

Meteor.publish('singleUser', function(userId) {
  // 先验证参数类型，避免注入风险
  check(userId, String);
  // 同样限制返回字段
  return Meteor.users.find(userId, { fields: { profile: 1, username: 1 } });
});

客户端订阅时传入目标用户ID：

// 客户端
const targetUserId = 'xxx'; // 替换成实际的用户ID
Meteor.subscribe('singleUser', targetUserId);
// 查询该用户
const targetUser = Meteor.users.findOne(targetUserId);

额外注意事项 #

• 客户端直接调用Meteor.users.find()，默认情况下只能拿到当前用户的数据，只有订阅了服务端发布的其他用户数据后，才能查到更多。
• 绝对不要在发布函数里返回services字段，这个字段包含了用户的密码哈希、OAuth凭证等敏感信息，泄露会带来严重的安全问题。
• 如果要修改当前用户的信息，客户端默认只能修改profile字段；如果要修改其他字段，建议在服务端写专门的方法来处理，不要随便放开客户端的更新权限。

内容的提问来源于stack exchange，提问作者احمد مانع