Web 应用程序安全性的最佳实践

Question

我有一个 Web 应用程序，在登录时，它会发送用于服务器验证的凭据 - 并通过应用程序返回不同 UI 组件的权限字典等 - 用于启用/禁用或显示/将这些组件隐藏在前端。

当然，这根本不安全 - 任何打开浏览器的开发者工具控制台的人都可以随时更改这些设置。

我将此作为一个问题向我的团队提出，并被要求提出解决方案。因此，我试图总结我的想法，如果有人能添加我不知道的替代方案（特别是如果这是最佳实践或通用标准），我会很高兴：

1. 让服务器返回用户有权查看的完整 html。
2. 使用加密保护服务器-客户端交换。 UI 将解密服务器响应，并相应地显示数据。

还有什么其他的选择吗？

我的堆栈是服务器端C#（实现为WCF server）和DevExtreme 用于UI（html + js（带有一些js 库，例如knockout））。

（这个问题发生在所有应用程序中，几乎所有服务器提供的数据中，不仅是登录授权）

Answer 1

另一种方法是控制服务器端的安全性。因此，不会为前端启用用户未禁用的操作。

Answer 2

我建议您在服务器中创建一个数据库，让您的应用程序形成一个 sql 查询，然后服务器将发送回链接到查询的数据。 确保清理所有传入的数据。