隐藏恶意用户的数据javascript函数

Question

假设我要将客户端列出到来自服务器端的html页面中，并且可以通过代码中包含的按钮删除这些客户端。

 @foreach ($clients as $client) <td>{!! client.name !!}</td><td><button type"button" onclick="delete({!! client.id!!})"> @endforeach 

我的问题是这样做安全吗？ 我应该隐藏此功能吗？

以及如何隐藏它？ 我以为可以写一个引用列出的每个客户端的jquery，但是为此，我必须为每个客户端创建一个javascript函数。

 @foreach ($clients as $client) <td>{!! client.name !!}</td><td><button type"button" id="client{!! client.id !!}"> @endforeach 

接着：

<script type="text/javascript">
@foreach ($clients as $client) 
    $('#client{!! $client.id !!}').click(function(){ doStuff({!! $client.id !!}); });
@endforeach
</script>

好吧，我认为这不是一个好的解决方案，因为它仍然在按钮中显示客户端ID，并且我创建了许多相同代码的实例。 我的感觉是，必须有另一种方法，也许是一种方法。 有人有一点头绪吗？

谢谢。

观察员：我知道我必须在服务器端进行验证，但是我认为这个问题仍然很重要。

Answer 1

隐藏该功能无济于事。

如果您提供HTTP端点来删除用户，那么任何人都可以使用他们喜欢的任何输入来调用它。

即使您设法隐藏了JS，使用浏览器的开发人员工具查看“网络”选项卡并查看请求的URL和发送的数据也是很简单的。

因此，尝试隐藏代码将具有以下主要作用：使代码更有可能出现错误，并且更难以调试。

不要浪费你的时间。 只需编写可以轻松维护的代码即可。

您唯一可以做的保护就是对发出请求的用户（用户名+密码，OAuth等）进行身份验证 ，然后确保他们有权删除要求删除的用户，然后再执行……您必须这样做服务器。

Answer 2

简短答案：不，隐藏功能不安全。

您可以使用诸如缩小之类的方法，这些方法会将您的代码更改为很难阅读的内容，但是有些工具可以撤消该操作。 但是，正如您在问题中所说的那样，服务器端验证是阻止某人发现您的函数并对其进行调用的唯一真实方法。 大多数客户端安全措施只是通过隐蔽性实现的安全性，尽管它可以抵御任何普通/不知情的攻击者，但远非100％。

并且，仅需My question is is it safe to do that? Should I hide this function? ： My question is is it safe to do that? Should I hide this function? My question is is it safe to do that? Should I hide this function?

我已经提到过如何真正隐藏/阻止代码运行。 但是在前端使用此代码是否安全？ 好吧，不， 将任何代码放到野外绝不是100％安全的。 但是，只要您的服务器能够正确验证请求，并且您遵循最佳实践，就可以在该行业中获得接近100％的收益。

Answer 3

只需添加style="display:none;" 在<button>或<td>标记中。 那应该使其隐藏，这将使您的代码可重用。