网站JS模块函数能否被浏览器控制台调用？showAdminTools()是否存非管理员访问风险？

首先明确一点：通过<script type="module">加载的ES模块，内部的函数默认是模块私有，不会暴露到全局作用域，所以在Chrome或Firefox的控制台里直接调用这些函数（包括showAdminTools()），默认情况下会抛出ReferenceError，找不到这个函数。

为什么模块里的函数默认无法在控制台调用？ #

ES模块有自己独立的模块作用域，和全局的window对象完全隔离。除非你主动把函数挂载到全局对象上，比如在模块里写：

window.showAdminTools = showAdminTools;

这种情况下，函数才会被暴露到全局，控制台就能直接调用了。如果你的代码里没有做这种主动暴露，那不用担心非管理员能直接在控制台调用它。

如何进一步保护showAdminTools()这类敏感函数？ #

就算模块作用域已经提供了基础隔离，还是有一些额外的防护手段来降低风险：

• 绝对不要主动暴露敏感函数到全局：这是最基础的原则，保持敏感逻辑在模块内部，不与全局作用域产生关联。
• 在函数内部做严格的权限校验：就算函数被意外暴露（比如调试时的临时代码忘了删掉），也要在showAdminTools()执行前验证用户身份。比如检查后端返回的用户角色标识（最好是通过后端接口实时校验，不要只依赖本地存储的字段，避免被篡改），只有验证通过才执行后续逻辑。
• 生产环境代码混淆压缩：使用Terser、Webpack等工具对JS代码进行混淆，把函数名（比如showAdminTools）改成无意义的字符，同时压缩代码结构，增加他人逆向分析的难度。注意这只是辅助手段，不能替代权限校验。
• 敏感逻辑移到后端：如果showAdminTools()涉及的操作是高风险的（比如修改系统配置、查看敏感数据），核心逻辑一定要放在后端。前端只负责触发请求，后端在接收到请求时先验证用户权限，再执行操作。这样就算前端函数被调用，后端也会拒绝非法请求。

内容的提问来源于stack exchange，提问作者Naitzabez