Je ne suis pas expert en sécurité, juste un développeur d’applications, mais toutes les modifications persistantes ne peuvent être effectuées que sur le serveur. Ce qui se passe dans le navigateur avec EmberJS vise la commodité de l’utilisateur et une expérience d’utilisation supérieure, par exemple la mise en cache pour la vitesse ou un comportement d’interface automatique semblable à une application. Cela ne change pas le fait qu’en définitive, l’application doit négocier toutes les modifications persistantes avec le serveur Rails, et ce faisant, n’aura la permission de le faire que pour l’utilisateur connecté.
Il en va de même pour toutes les récupérations de données : le serveur Rails n’enverra que les données auxquelles l’utilisateur connecté a accès.
Je ne pense pas que vous ayez besoin de vous inquiéter de cela, car si quelqu’un tentait de contourner ce mécanisme, il échouerait dès le premier obstacle : il est impossible de tromper l’API.
Quelle est votre préoccupation ?