@YIN，似乎你所说的 Javascript 是指在浏览器中执行的吧？

Javascript 只是一种语言，可以做为浏览器的脚本，自然也可以做为 CouchDB 的脚本，CouchDB 集成了 SpiderMonkey 引擎，所以，就像你说的，操作数据库的代码确实是在 Server 上啊。

我上一个回复的意思是：Http协议本身就已经定义了Auth机制，RESTful应用的安全可以从这一点来着眼。

既然RESTful是基于URL来定义资源的，因而，也就可以很方便的在URL的基础上来对于资源的访问进行控制（除了简单的ACL，还可以据此定义更复杂的RBAC）。

具体到CouchDB来开发应用，如果期望这个任务能在Browser端用纯JavaScript得到完成，可能并不是很现实。不过，比如说，在服务端给URL增加几个filter也不会是很复杂的事情。（比如，可以对URL“/cart/$NAME/*”定义一个限制“$AUTH_USER=$NAME”，而除了filter，没准还会有更好的方式。）

因为有了这个filter在服务端，严格意义上讲，也就不能再继续宣称整个应用是纯客户端JavaScript完成的《如来神掌》，这个说法是对的。但我想这个更严格的定义应该不是我们在讨论开发效率时所用的Context。因为，一方面这个访问控制层可以是高度可配的独立控件（就好比Apache的某个模块）；另一方面，“在关键的业务环节，不能信任客户端的提交，必须进行服务端的校验”这也是Web（or电子商务）编程的基本原则之一，任何的架构模式下恐怕也都是必须的。

couchDB 和Javascript的《如来神掌》相当于
Powerbuild+sqlserver做的C/S系统,放在Internet上能跑,还是开源了的,能安全吗?

请看这里。