[問題] ajax權限的畫面問題

[mickeyboy (mic)]

請教前輩們

關於ajax去跟後端索取資料來形成畫面

有幾個問題，想要請教一下

1.例如vue的時候會使用v-if

有可能被人直接在瀏覽器或者工具竄改js的程式碼

來顯示v-else的畫面嗎?


2.更安全的作法是不是使用在後端先將整個HTML所需要的HTML產生好

ajax只需要輸出顯示就好?就沒有v-if v-else的問題


3.像是SPA(Single Page Application) 大量使用js來讀取資料顯示

但js不是都是看得到的，這樣是不是網站相關的API URL都會被看到

目前爬文除了後端防範外，前端部分還有什麼機制可以使用?

有推薦的資料可以參考嗎?


謝謝

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.234.213.16
※ 文章網址: https://www.ptt.cc/bbs/Ajax/M.1556800905.A.2A9.html
→ freeccc: 1. 如果你 v-if 判斷的條件可以改就可以做到你說的那樣，
→ freeccc: 例如使用全域變數來做判斷
→ freeccc: 2. 不是
→ freeccc: 3. 如你所說，前端的程式碼都看得到，那你要怎麼防範？
→ freeccc: 換我反問你，你現在的顧慮是什麼？
→ lightyen: 沒權限還拿的到資料是後端的問題吧
推 jack82822005: 你可以用cookie來儲存使用者資訊，供後端判斷權限呀
→ jack82822005: ～至於cookie的加密問題，是否又是另一個故事呢？
→ jack82822005: 有請版上其他大大XD
推 mrbigmouth: 所有權限相關的程式都應該由後端處理  這是基本安全概
→ mrbigmouth: 念  前端理應只處理介面問題  使用者權限不足以讀取的
→ mrbigmouth: 資料從一開始就不應該被後端傳送到前端
推 idareyou: 1.理論上後端不給你就不應該收到，v-else被解開也是空值
→ idareyou: 使用者從進入時(匿名、一般、admin)，後端就會給權限
→ idareyou: 所以匿名者越權時(增修刪改)，後端一定得要擋下來
推 froce: 有些js函式在沒相關權限的時候，根本就不該傳給前端
推 art1: 蘋果日報想要人家登入才能看新聞，可是又可以從前端破解
→ art1: 也是沒做好權限控管的意思？
→ art1:             讀者
推 froce: 那個是上面搞不懂硬要前端幹，又要SEO，又想逼讀者用app的
→ froce: 結果。不是權限問題。
→ froce: 然後最近好像蘋果家就在找新前端了。XD
→ dododavid006: 蘋果那個找新前端有用嗎？只要會傳到前端一定有辦法
→ dododavid006: 的不是嗎
→ freeccc: 可能是原本的受不了跑掉了吧
推 googoo1102: 權限 - 前端擋介面 後端擋操作
→ googoo1102: cookie可以被改掉, 用session會好一點