如何防止來自服務器的響應被用戶修改？

Question

我已經使用 spring、java 和 angular 構建了一個系統。 當用戶成功登錄系統時，后端將獲取特定用戶的角色列表。 然后，我意識到可以在到達用戶之前修改來自服務器的響應。 因此，用戶可以為自己添加更多角色並執行非法操作。

例如：用戶 A 應該具有僅查看數據的角色。 但是當 API 調用后端獲取角色時，用戶會攔截來自服務器的響應並為自己添加修改角色。 現在用戶可以看到修改按鈕並開始修改某些內容。

有什么辦法可以防止這種情況發生嗎？

Answer 1

保持后端檢查每個請求中的用戶角色。 我的意思是，如果您的用戶請求一個操作（具有修改的角色），您總是檢查用戶是否具有有效的令牌以及他們的角色（保存在您的數據庫中）是否正確執行此操作。 這種方式與用戶發送給您無關，您始終確認該操作是否被允許。

在這種情況下，做一些非法的唯一方法是擁有其他用戶訪問令牌，但這是另一個安全問題。