Безопасность и GWT - клиентская сторона

Question

Может быть, это глупый вопрос, но JavaScript - странная вещь. Я защитил свое приложение gwt с помощью Spring Security и хочу использовать роли безопасности на стороне клиента. Это безопасно или ими можно манипулировать, чтобы обычные пользователи внезапно получили доступ к частям менеджера.

Answer 1

Никогда не доверяй стороне клиента! Поэтому при каждом обращении к серверу за данными следует проверять, есть ли у пользователя доступ к этим данным, как запрашивать, так и сохранять / удалять данные.

Answer 2

Вы должны включить безопасность с обеих сторон. Просто помните, что безопасность никогда не должна быть «принудительной» на стороне клиента, но пользовательский интерфейс должен отражать роли пользователя (т.е. вы не хотите отображать ссылку администратора для пользователя, который не является администратором). Вы должны обеспечить безопасность на уровне сервиса. Если вы обеспечите защиту на стороне клиента, это не помешает пользователю создать вызов веб-службы вручную, но если защита будет применена на уровне службы, запрос будет отклонен.