在MeteorJS中直接向在线用户发送消息

在聊天应用程序中，如果有在线用户，我希望能够直接向两个用户发送消息。我正在使用mizzao:user-status来检测它们是否联机。让我们想象两个用户Tom和Sam。所以他们都在线并使用该应用程序。现在，当Tom向Sam发送一个mesage，反之亦然时，我想直接将消息发送给Sam，而无需首先通过Web套接字将其存储在MongoDB中。流星流似乎是一个可行的选择，但问题是。假设1000人同时使用该应用程序。现在有些人只能发送他们的friends消息。我如何确保安全性，这样Sam就不能编辑一些源文件，也不能通过网络阅读每个人的消息。

谢谢。