在Laravel中将“用户”传递给javascript Ajax有多安全？

Question

我已经问过这种情况，但是当您将数据直接传递给这样的视图时：使用$user = Auth::user();获取用户$user = Auth::user(); 然后将其发送到带有return view ('somepage')->with('user',$user); 浏览器将在视图中获取所有用户数据（用户名，密码，user_id等。）。 并发现应该是安全的。 现在我在想，如果您改为将其传递给负责更新视图的脚本，该怎么办？ 像这样：

return Response()->json($user);

您正在野外触发一个json作为data进入脚本，那么第三方也可以访问该json数据吗？

Answer 1

不，您不想将任何敏感数据传递到脚本或通过JSON。 这两个资源都可以从客户端查看。

但是，您可以从对象中删除敏感数据，然后再将其序列化为JSON并传递给浏览器。

在您的Eloquent模型中，添加一个$hidden属性-该属性是将模型序列化为JSON时将删除的属性数组。

因此，您的User模型将如下所示：

<?php

namespace App;

use Illuminate\Database\Eloquent\Model;

class User extends Model
{
    /**
     * The attributes that should be hidden for arrays.
     *
     * @var array
     */
    protected $hidden = ['password'];
}

然后， password将被删除，并且无法从客户端访问。

文件： https ： //laravel.com/docs/5.2/eloquent-serialization#hiding-attributes-from-json