不是angularjs ui-router解析不安全吗？

Question

如果我有当前状态

.state("display",
    {url:"/display",templateUrl:"display.ng.html",
    controller:"DisplayController",
    controllerAs:"displayController"})

我在状态中添加了一个解析，这样只有登录的人才能访问该路由，例如：

resolve: {
    "currentUser": ["$meteor", function($meteor){
      return $meteor.requireUser();
    }]
  }

*取自http://angular-meteor.com/tutorial/step_08

这不会造成安全漏洞吗？

任何人都不能在他们的浏览器中打开控制台并“重写”路由以使其不需要用户吗？

Answer 1

如果我们针对前面设置的问题，“是”将是简短的回答。不过，这个答案背后的真相是，它的设计初衷不是为了安全，因为这是不可能的。用户/客户完成页面下载后，从技术上讲，他们可以完全访问您提供给他们的所有内容。无论您采取多少客户端预防措施，人们都可以保存您的文件，随意编辑它们并使用这些文件重新加载页面。他们可以去任何他们想要的路线，运行他们想要的任何 javascript，等等。

这是什么意思？永远不要相信用户。曾经。如果您不希望某人看到某些内容，请不要将其包含在响应中。如果您在客户端隐藏它，则不会阻止用户打开源查看器并只是在文件中挖掘以找到它。即使你缩小和一切，那里的人，有足够的驱动力，可以找到一切。

同样适用于 API 调用、套接字通信等。客户端可以发送他们想要的任何内容。如果他们知道 URL、预期数据和发送方法，他们就可以创建自己的假客户端并发送他们想要的任何东西。这就是为什么客户端验证仅对 UI 原因有用（将框标记为红色、通过拒绝表单来节省时间等），但您必须重新验证并重新检查 -everything- 服务器端。

tl;dr - 是的，它是“不安全的”，但这不是 angular/ui 路由器的错。这就是客户端开发的方式。如果您不希望无权访问的用户看到某些内容，请不要将其包含在您发送给他们的数据/文件中。检测它并将其从服务器端剥离。