JavaScript 应用权限检查

Question

我目前正在构建一个 JavaScript，其中包含一些只能由特定用户组访问的区域 - 假设他们购买了产品并可以在应用程序中进入产品视图。 （一切都发生在同一页面上）。

现在我的方法如下：

// 发生了一些请求，下一个组件即将被加载 ...

$.get("/api/permission/something", function(result){ // <-- Check whether the user has or has not the permission to access that component
    if(result === "permission granted"){ // <-- this would be the check whether its ok or not to access that component - but this value can be changed manually if someone really wants to (debugger via inspector etc)
        // permission ok
    }
});

因此，据我所知，这基本上是一种易受攻击的方法。我目前尽可能保持“安全”的解决方案是检查用户是否有权进入其中的每个后续请求 - 最终在某个时候将他踢出去。

这里还有其他方法可以应用吗？

Answer 1

当您说“一切都发生在同一页面上”时，我假设您正在谈论单页应用程序。这意味着您可以通过加载了 XHR 的应用程序端点获取您的内容。

这里有两种选择： - 您的 api 调用应返回有关尝试接收数据的正确状态代码 - 您的 api 返回的每个对象也应该具有您的用户被允许的权限。例如

"permisssions":{
"view":true,
"delete":false
}