Django中返回用户权限标识用于前端UI控制是否存在安全风险？

这种通过接口返回当前用户权限来控制前端UI的做法是常见的前端体验优化手段，但必须明确：前端的权限控制只能做展示层限制，绝对不能替代后端的权限校验，具体的安全风险和注意事项如下：

核心风险：前端控制不是安全屏障 #

• 前端的UI隐藏、按钮禁用都是可以被轻易绕过的：用户可以通过浏览器控制台修改DOM元素，或者直接构造HTTP请求调用后端接口。比如即使你隐藏了"添加Todo"的按钮，只要用户知道接口地址，依然能发送POST请求尝试创建Todo。
• 所以后端的每个业务接口必须独立做权限校验：比如在视图函数上使用@permission_required('todos.add_todo')装饰器，或者在视图内部手动检查request.user.has_perm('todos.add_todo')，只有校验通过才处理请求。

次要风险：权限信息的不必要暴露 #

• 一般来说，返回当前用户已拥有的权限列表不算敏感信息——用户本身在Django admin里也能看到自己的权限。但如果你的系统包含一些高风险权限（比如批量删除数据、系统配置修改的权限），返回这些权限的codename可能会给攻击者提供试探方向（比如知道有todos.delete_all权限后，会尝试寻找对应的接口）。
• 优化方案：不要返回用户的全部权限，只返回前端实际需要用到的权限项。比如前端只需要控制"添加"、"编辑"、"删除"Todo的按钮，就只返回todos.add_todo、todos.change_todo、todos.delete_todo这几个权限，而非用户的所有权限集合。

额外注意事项 #

• 确保权限格式一致：返回的权限字符串（比如todos.add_todo）必须和后端校验时使用的完全一致，避免因为拼写错误导致权限控制失效。
• 权限缓存的合理性：如果用户权限不会频繁变更，可以把权限列表缓存到前端localStorage或者后端Redis中，减少接口请求次数，但要注意在用户权限被修改时及时清空缓存，避免出现权限不一致的问题。

内容的提问来源于stack exchange，提问作者ryakosh