校验是改前端写还是后台写？

[sansansan333]

在一家公司已经工作 3 年了。

刚才头一次感觉和同事有了次冲突...感觉也是相当不爽...

具体问题是发现后台写接口的越来越松了。刚开始表单数据校验不写,不写就不写吧，前端校验住还能少几次请求，好像确实前台校验好点。现在连能不能改订单状态，能不能修改已经审核通过的信息都靠前台校验了。那还做个毛。只要是个入了门的程序员，一个普通账号在站内为所欲为？觉得很无语，来吐槽....

是我想多了？没人这么无聊直接跑接口？还是他们越来越懒了。

[sansansan333]

@baiyi
看到有研究过 jwt 顺便请教个问题可好?

如果是不同域名之间怎么保存信息?

虽然没试过，但是肯定 cookie 或者本地数据库啥的能变相做到同步个信息。（之前有看过类似的文章，没存下来），想问的是这样做会不会有安全问题?比较成熟的解决办法又是什么呢？

对于服务端来说，只要密匙写的一个。解密校验方面应该不会有什么额外的问题吧？

问题好像有点多，写起来太烦的话就忽略我吧~

[windfarer]

后端必写，前端选写

[zn]

前段验证提高客户体验。
后端验证保证数据正确。

孰轻孰重，你自己考虑考虑。

PS：
要是我手下不做后端验证，那他可以打包回家了。

[ys0290]

做好自己的事，等到和领导谈到相关安全问题的时候提一下

[oonnnoo]

同前端表示理解。
不懂技术的领导都会认这是前端的锅

[stanjia]

校验 前后端都要写，都要写，都要写

[shd]

不是领导，不是相关负责人，为啥管他写不写，自己写了就好，出了问题教他做人

[oonnnoo]

自己前端做好自己的校验，管他的后台，最多提醒一下他好了

[bestkayle]

什么公司这么能糊弄。。。

[jason19659]

肯定都写啊

[baiyi]

@sansansan333 #21 上面的问题，看描述你想说的是 单点登录 吗？

校验解密说的应该是 jwt 吧，jwt 是没有加密的，它是 base_64 编码，然后使用 hash 签名来保证数据不被篡改

[cocona]

如果是 JS 写 cookie 或 localstorage 是不能跨域的，
我用过的解决方案是嵌 iframe 用 postMessage 通信来同步数据。

[fishliu]

我是觉得前后台都要写的，后台是必须要写的吧，前台为了体验也是必要的

[sansansan333]

@baiyi
名词我不太懂 现在想解决的问题是 www.a.com www.b.com c.a.com 全部共享登录状态。
只要有一个登录过 其他也同步登录状态。
用 session 已经实现了。但是感觉好麻烦。

感觉用 jwt 的话 这三套程序只要给前台返回信息的方法和拦截校验的方法完全一样的话 瞬间解决？
（让这三套程序在初始化跑 js 的时候默认取一下本地是否有其他站放下的信息，有的话直接带上，就算有登录状态了）

[sansansan333]

@cocona 谢谢提供思路~

[markyangd]

必须前后段都写，不然绕开前端太容易了。

[baiyi]

@sansansan333 #34

嗯，就是单点登录，我不太熟悉，你可以搜下相关的解决方案，应该会有很多

jwt 解决的不是这个问题

[gejun123456]

前后台都要写，楼主早点撤吧

[loveCoding]

建议后端离职...接口默认传递过来的数据不可靠的

[sansansan333]

@gejun123456 公司很大哦~只是人们越来越懒了，刚开始不是这样的，慢慢的有点失望~