我并非安全专家，只是一名应用开发者，但所有持久化更改都只能在服务器端进行。在 EmberJS 中浏览器端发生的一切，都是为了用户便利和更优质的使用体验，例如缓存以提升速度、自动实现类应用界面的交互行为。但这并不改变一个事实：最终所有持久化更改都必须与 Rails 服务器协商，且在此过程中，仅允许执行已登录用户的操作。
所有数据检索亦是如此——Rails 服务器只会向已登录用户发送其有权访问的数据。
我认为你无需为此担心，因为如果有人试图绕过这一机制，他们会在第一道关卡就失败：无法欺骗 API。
你的具体顾虑是什么？