每个人都能看到我的JavaScript验证功能是否安全？

Question

在我的注册页面中,我使用JavaScript和PHP进行验证.

但是,人们可以通过查看网页的来源来查看我的JavaScript验证功能.它包含输入字段名称,ID等.

那么,任何人都能看到它们是否安全？

Answer 1

你引用的验证函数没有透露任何你需要保密的信息(恰恰相反,实际上,告诉人们什么是必需的和不需要的,并且可以进入UI).所以他们"安全",因为他们没有透露任何保密信息.

如果您的验证功能使用了您想要保密的信息或技术,则需要将它们移动到服务器,因为它们不会"安全",因为它们会泄露机密信息.

您可以通过使用积极的minifier /混淆器(例如高级模式下的Google Closure Compiler)来让人们更难理解您的客户端验证功能.但是你不能让它变得不可能:如果浏览器可以读取代码,那么使用浏览器的人就可以读取代码.

而且正因为我们讨论的是客户端验证,通常的警告:即使您正在验证客户端,您仍然需要验证服务器端.用户可以绕过客户端代码并发送无效信息.