前端内存变量能否被访问？客户端内存数据安全性探讨

用户能访问本地内存中的变量值吗？ #

完全可以，只要用户具备基础的前端调试能力，通过浏览器自带的开发者工具就能轻松获取：

• 打开浏览器DevTools（快捷键F12/Ctrl+Shift+I），切换到「Sources」面板，找到对应的JS文件，在const num = Math.random()代码行打断点，代码执行到此处时，就能在「Scope」面板里看到num的具体值；
• 要是变量在全局作用域，直接在「Console」面板输入变量名回车，就能直接输出值；哪怕是局部作用域的变量，也能通过调试器的调用栈、闭包分析功能找到它。

客户端内存里的数据是否都不安全？ #

没错，客户端内存完全不可信，绝对不能存放敏感数据：

• 所有客户端代码和内存数据都运行在用户自己的设备上，用户拥有最高操作权限，除了调试工具，还能通过内存快照分析、代码篡改等方式获取任何内存中的数据；
• 哪怕你把变量藏在模块私有作用域、闭包这类看似“隐蔽”的地方，熟悉调试流程的用户依然能一步步扒出数据；
• 举个例子：如果把用户密码、API密钥这类敏感值存在客户端变量里，只要用户想获取，几乎没有任何阻拦。

总结：客户端内存仅适合存放非敏感的业务逻辑数据，所有敏感信息必须留在服务端处理和存储。

内容的提问来源于stack exchange，提问作者713sean