php - RIA 中 JavaScript 中基于 Angular 色的安全性

Question

我正在尝试学习使用 JavaScript 开发 Web 应用程序，为此我正在开发一个简单的时间跟踪应用程序。我正在使用 ExtJS 开发它以动态创建 UI。

这将允许员工提交他们在不同项目上花费的时间，并允许经理将项目添加到用户等。

用户登录后，我确定他们的 Angular 色，并提供适当的 UI(通过 JavaScript)。

我想知道最好和最安全的方法是什么？ (当然，我正在检查服务器端的授权，因此没有人可以通过 http get/post 调用我的 PHP 服务来进行更改)

我从不允许非授权人员通过摆弄 JavaScript(例如从 FireBug 控制台)查看非授权用户界面的 Angular 提出要求。

我正在考虑创建一个服务，该服务通过 JSONP 返回用于创建适当 UI 的适当脚本。我觉得WTF-ey，所以我想知道是否有更好的方法。

Answer 1

以 naugtur 的评论为基础。您必须始终假设会有一个非常聪明的人可以为他/她自己构建 UI，或者伪造 UI 的任何部分可以执行的对服务器的任何调用。

基于此，您在问题末尾建议的方式的前提似乎从一开始就被揭穿了。一旦我们解决了这个问题(我假设你制作的是单页应用程序)，最简单的方法就是始终在登录屏幕上直接转储所有 javascript 代码，并且只允许用户根据他们的需要查看他们需要的内容 Angular 色(例如，每个 Angular 色都有不同卡片的卡片面板就是一个例子)。

我还想补充一点，在应用程序的后端，您应该始终进行安全检查，以确保用户在执行任何操作时都拥有正确的 Angular 色。如果你的应用程序是面向互联网的，这是必要的，总会有那个用户会查看你的代码，看看他可以恶意地做什么或只是为了好玩......或者那个人想看看当他使用调试器创建他自己的具有不同参数的假 ajax 调用。