javascript - 安全性 - 如何防止向未经身份验证的用户呈现 React 组件？

Question

我正在尝试解决使用 Firebase Auth 时的安全问题。

firebase.auth().onAuthStateChanged(user => {
  if (user) {
    // User is signed in.
  } else {
    // No user is signed in.
  }
});

假设我有一个单页 React，它呈现 <Login />组件时user是 null ，并渲染 <App />如果user是不是 null ，使用this.state .

难道有人不能进入 React DevTools 并更改 user 的状态吗？渲染<App /> ？

了解 Firebase 提供 Auth ID token ，有没有办法保证未经身份验证的用户无法渲染<App /> ？

Answer 1

我会考虑一下其中是否有任何东西真正值得保护，如果他们能够更改用户状态，他们将无法做更多事情，正如我猜你会做的那样其他 API 调用或基于该数据呈现 View ，因此它们不会呈现不存在的数据。

即使你能够阻止渲染，也没有什么可以阻止有人通过源代码来查看输出的内容，所以如果有一些关键的东西应该完全无法访问，那么它可能属于服务器(并且无论哪种方式，开发工具都应该在生产中禁用)