服务端授权 vs 客户端授权：客户端侧资源授权是否安全？

为什么客户端的if(isAuthenticated)判断没用？ #

• 前端代码完全暴露：不管是React、Vue还是React Native，客户端代码（包括JS/TS、本地存储的认证状态）都能被攻击者轻易篡改。比如用浏览器调试工具直接把isAuthenticated改成true，或者直接删除if判断语句；甚至不用改代码——直接复制getSensitiveData()的接口请求，用Postman、curl等工具直接发送，完全绕开前端逻辑。
• 前端认证状态可伪造：Cognito、Firebase返回的前端认证状态（比如本地存储的token、用户信息）都是可以被伪造的，攻击者不需要真的登录，就能构造出看起来合法的认证状态让前端判断通过。

前端判断的真实作用 #

前端的isAuthenticated判断只是用来优化用户体验的：比如隐藏敏感操作按钮、自动跳转到登录页、避免用户看到无权限的UI内容，但它绝对不能作为安全防护的手段。

服务端授权才是核心 #

你提到的PHP、Next-auth、Express+PassportJS这类服务端侧的授权逻辑，才是真正能保障安全的方式，原因是：

• 服务端可以独立验证用户的认证凭证：比如验证JWT令牌的签名（确保没被篡改）、有效期、以及令牌里的权限声明（比如scope或claims），确认用户确实有访问敏感数据的权限。
• 数据的控制权在服务端：只有服务端确认用户有权限后，才会返回敏感数据，攻击者就算绕过前端，也无法绕过服务端的验证。

错误vs正确示例 #

• 错误做法：前端判断isAuthenticated后调用接口，但接口本身不做服务端验证。攻击者直接发送GET /api/sensitive-data就能拿到数据。
• 正确做法：前端调用接口时带上认证令牌（比如放在请求头的Authorization里），服务端接口先验证令牌的合法性和用户权限，通过后再返回数据。

内容的提问来源于stack exchange，提问作者PrasadB