【发布时间】：2011-02-22 08:30:19
【问题描述】：
也许这是一个愚蠢的问题，但 javascript 是一个奇怪的东西。我使用 spring security 保护了我的 gwt 应用程序，并希望在客户端使用安全角色。这是安全的还是可以对其进行操纵，使普通用户突然可以访问管理器部分。
【问题讨论】：
【发布时间】：2011-02-22 08:30:19
【问题描述】：
永远不要相信客户端！因此，每次对服务器的数据调用都应检查用户是否有权访问该数据，包括查询和存储/删除数据。
【讨论】：
-
希尔德布兰德是对的：永远不要相信客户。永远不要将用户不应该看到的任何敏感数据发送回客户端。
您应该在双方都包含安全性。请记住，安全性永远不应在客户端“强制执行”，但 UI 应反映用户的角色（即，您不想为非管理员用户显示管理员链接）。您应该在服务层强制执行安全性。如果您要在客户端强制执行安全性，它不会阻止用户手动构建 Web 服务调用，但如果在服务层强制执行安全性，请求将被拒绝。
【讨论】：