我如何確保傳遞給角色的角色？

Question

我有一個關於傳遞角色數據作出反應的問題。我可以通過全局變量從服務器傳遞，也可以從客戶端進行其他API調用，但是無論哪種方式我都可以獲取用戶的權限數組。舉個例子：

Permissions: ['ALLOW_X', 'ALLOW_Y'] 

是什麼阻止從瀏覽器中打開開發者工具和設置一個斷點，並添加「ALLOW_Z」到數組人嗎？

有沒有一種很好的方式將數據傳遞到客戶端並使其具有防篡改功能（至少）？我知道我可以重新檢查服務器上的權限以避免保存某些內容，但常規用戶應該無法看到的管理級別UI項目呢？我是否僅限於將所有這些內容放在單獨的頁面上，並僅通過角色阻止路由？

似乎我在這裏失去了一些東西。 想法？ 謝謝， 傑夫

Answer 1

什麼是從瀏覽器中打開開發者工具和 設置一個斷點，並添加「ALLOW_Z」到數組停止人嗎？

什麼都沒有。

一旦你的javascript /數據離開你的服務器，你必須假設它已被用戶污染和修改。

所有認證操作都必須在服務器上進行。

您通常會與服務器保持一個會話密鑰，並且您會檢查會話密鑰（也稱爲令牌）是否仍然有效。

編輯：
如果用戶看到「特殊管理的部分」你不應該關心，因爲他們所有的功能將無法正常工作（所有服務器API調用會失敗，因此用戶無法刪除，編輯或創建任何數據）