Blazor WebAssembly客户端配置文件安全与代码嵌入配置安全性问询

一、恶意用户能否修改客户端的settings.json配置？ #

• 完全可以修改本地副本：Blazor WebAssembly是纯客户端运行的应用，settings.json会被下载到用户浏览器中存储。恶意用户通过浏览器开发者工具、本地缓存修改（若为PWA离线应用）等方式，能轻松篡改该文件的本地内容。
• 修改仅影响本地会话：这类修改不会同步到服务器端，也不会影响其他用户。但如果你的前端逻辑直接依赖该配置做权限校验（比如读取配置中的角色列表控制页面元素显示），恶意用户可通过修改配置绕过前端校验——不过只要服务器端做了权限校验，非法请求仍会被拦截。

二、将配置直接放入服务类中的安全性如何？ #

• 比settings.json更隐蔽，但仍存在风险：把配置硬编码到服务类后，会被打包进WASM文件。普通用户无法直接看到源码，但懂技术的人可通过wasm2c、Binaryen等WASM反编译工具还原代码逻辑，照样能提取或篡改这些配置项。
• 核心安全问题未解决：无论配置存在客户端文件还是硬编码到代码中，只要是客户端侧的内容，本质上都不可信。身份验证与授权的核心逻辑必须放在服务器端，前端仅能做界面级的校验，最终权限判断一定要由服务器接口完成。

关键安全建议 #

• 敏感配置绝不放在客户端：JWT密钥、权限校验规则、管理员专属配置等敏感内容，必须全部部署在服务器端。
• 客户端仅存储非敏感配置：API地址、前端展示用的角色名称等不影响安全的配置，可放心放在settings.json中。
• 服务器端强制做最终校验：即便用户篡改了客户端配置，服务器在处理请求时也要重新验证用户的真实权限，拒绝任何未通过校验的非法请求。

内容的提问来源于stack exchange，提问作者mz1378