沒有服務器端的客戶端Javascript表單驗證 - 它安全嗎？

Question

Supose我有一些與JavaScript客戶端驗證和服務器端驗證的形式。

如果用戶在瀏覽器中禁用了JavaScript，則不會提交按鈕，因此如果未啓用js，他將無法發送任何數據。

但我不知道是否有任何方法可以從客戶端瀏覽器更改我的驗證指令，以便他可以向我發送不可信的數據並對我的數據庫造成一些損害。

在此先感謝和抱歉我的（可能）明顯的問題！

Answer 1

不，這是不安全的。使用服務器端驗證。

例如，即使沒有瀏覽器，我也可以閱讀您的源代碼。然後只需使用CURL發送包含惡意數據的發佈請求。

永遠不要信任客戶。

Answer 2

不，它不安全。例如，我可以在瀏覽器中打開JavaScript調試器並覆蓋您的驗證。

Answer 3

任何能夠自行禁用javascript的人都可能也可以自行創建任意POST請求。好吧，我可能會誇大其詞，但仍然不安全，因爲有人可以在不使用瀏覽器的情況下執行POST請求，更不用說您的表單了。

Answer 4

我建議使用客戶端和服務器端驗證。

客戶端驗證的好處是速度很快，在用戶輸入正確的輸入之前，我們從來沒有打過服務器。這節省了時間並避免了用戶的影響。這在大型表單中非常有用。 然而，缺點是一個壞人可以重寫客戶端驗證，因此爲了避免這種情況，我們應該在處理數據之前在服務器端進行驗證。