javascript - JS 变量是否不受用户操作的影响？

Question

我正在尝试分离困惑的 PHP 和 JS。我不是在初稿中寻求完美，但任何东西都比当前状态更好。

当前(全部在一个文件中):

<?php if( checkSecureUserStuff ): ?>
//bunch of js like including admin features
//not fun stuff
<?php endif; ?>

提议:

PHP文件

if( checkSecureUserStuff ){
  $userAccess = 'admin';
}
...
//Later in file, I know this still not ideal
<script>
var useraccess = <?= json_encode($userAccess) ?>;
</script>

JS文件

if( useraccess == 'admin' ){
  // do the admin related JS stuff here
}

显然在最终的 HTML 中 var useraccess = 'admin'; 将是可见的。到那时它是否可以被操纵？我知道这种设计不是很好，但它是不是非常不安全？

哦，是的，我应该提一下。仍然在服务器上检查操作。这更多是关于保护 UI 和禁用某些东西。服务器仍会验证操作。

我想问题更多是关于如果在文档加载时设置和检查变量，用户能否操纵 UI。 已经部分回答了 millerbr 提到的设置断点.没想到

Answer 1

是的。用户将能够打开他们的浏览器控制台，查看代码，在他们设置的断点处暂停它，然后在控制台中编写代码来编辑变量。

你永远不应该相信你的前端安全类型的东西 - 是的，编写代码来限制访问，但总是仔细检查你的后端并假设任何请求都是不安全的。

您可以采取一些措施来隐藏您的代码并使其更难操作，例如缩小代码，但没有任何事情是 100% 有效的，因此您应该始终假设前端已受到威胁，并在任何情况下采取必要的预防措施传入的数据或请求。