校验是改前端写还是后台写？

[sansansan333]

在一家公司已经工作 3 年了。

刚才头一次感觉和同事有了次冲突...感觉也是相当不爽...

具体问题是发现后台写接口的越来越松了。刚开始表单数据校验不写,不写就不写吧，前端校验住还能少几次请求，好像确实前台校验好点。现在连能不能改订单状态，能不能修改已经审核通过的信息都靠前台校验了。那还做个毛。只要是个入了门的程序员，一个普通账号在站内为所欲为？觉得很无语，来吐槽....

是我想多了？没人这么无聊直接跑接口？还是他们越来越懒了。

[sansansan333]

@baiyi https://www.v2ex.com/t/405016 根据你说的单点登录 竟然在站内搜到了同类问题 也是巧了~

[singlepig]

难道不是都写么？？他接口拿到什么都敢往库里存？？这样吃枣药丸的。。。如果被抓包了呢？别人随便请求一下就能发现个新大陆，到时候都是他的锅，难不成还能怪你前端没管好用户？？？

[sensui7]

这就是我为何药学后端的原因, 可以直接怼, 要不然以前就会被唬住.

[huangunic0rn]

都写。
前端防小白。后台防脚本小子。当然最好还有个中间层（比如 waf，防小黑）

[zhouyou457]

emm......你是怎么看出他们没做校验的呢？

[zhouyou457]

还有就是如果一个普通账号就能漫游贵司的整个系统的话，那就是权限系统的锅了.....

[carakan]

双校验吧。。。。后台不校验？什么网站。。。给 v 友们福利福利吧。。。前段不校验。体验会差很多吧。。。

[STillSB]

都应该写，别人写不写不用管，自己写了就行了
用心把自己这块的工作完成的又优雅又安全，出了问题也不慌

[goodryb]

争这个有啥用，后台不校验就不校验，出问题责任又不在你

[styang]

两边都写的

[dcty]

都

[codeeer]

怕不是外包公司吧......

[dddd1919]

请亮出你们的网站，我要买买买！！！！

微信就剩一块多零钱了，让我再挥霍一把

[StevenTong]

网站贴出来 我们用实际行动来帮你说服领导

[akira]

前端限制能不能改订单状态，能不能修改已经审核通过的信息 很正常啊，
只是后端收到请求的时候也要校验一次就是了。

你只是做了你的本职工作。

[hvanke]

首先表示赞同前后端都要写。
疑问是，对于一个复杂的表单，是不是前后端应该约定同样的检验逻辑呢？那这同一套检验的逻辑前后端都写一次，有没有优雅的方式保持一致性呢？

[akira]

@hvanke 有啊，js 就是往这个方向努(zuo)力(si)了啊

[bk201]

安全方面考虑后端必须校验，体验以及性能方面考虑，如果不是很重要的业务数据，前端简单校验就可以了.

[twoyuan]

validations on FE are for stupid users,
validations on BE are for malicious users.

[Nitromethane]

后端的心真大啊~不但前端要检验，Node 层要校验，API 层同样要校验，这是基本规范。