用户权限处理

Question

这是有关网站用户权限的最佳实践问题。 如果用户无权在页面上执行某些操作，则最好A.在呈现和隐藏​​按钮之前进行那些安全检查B.继续渲染按钮并在用户单击按钮时进行安全检查，如果他们没有权限，请通知他们。

我倾向于B有几个原因。 这些原因中的两个是更快的初始加载时间，并且对于用户来说也更清晰。 如果他们看不到该按钮，则由于安全性原因，他们可能不知道该按钮不存在，这可能会导致支持电话。

我很乐意听取其他意见。

Answer 1

即使按钮已隐藏，也应始终在执行某些操作之前进行安全检查。 请记住，无论您的网页提供了什么按钮，客户端都可以发送他想要的任何HTTP请求。

但是，当然，在显示按钮时检查用户权限也很有用。 我认为，最佳实践不是隐藏它们，而是将它们“灰显”或以另一种视觉方式显示，表明存在某种特定动作但无法执行。 如果用户首先必须按下按钮来检查他们是否正在工作，这将使用户感到烦恼。