Flutter Web中用Firebase Auth替代Django权限是否可行？

• 前端验证仅作用于UI层面，无法阻止直接API请求
  你写的Flutter代码只是在页面渲染时判断用户登录状态，拦截未登录用户的UI展示，但这完全挡不住攻击者通过Postman、curl等工具直接调用你的DRF接口。只要后端没有权限验证，任何人都可以构造请求获取或修改敏感数据。

• Django权限类是后端安全的底线
  你已经实现了Firebase认证类，配合IsAuthenticated这类权限类，可以确保只有通过Firebase认证的合法用户才能访问受保护的API。这是从数据层面拦截非法请求，是不可替代的安全屏障。

• 前端与后端验证是互补关系
  前端的状态判断是为了优化用户体验——比如快速引导未登录用户去登录，避免无用的API请求；而后端权限验证是为了确保数据安全，不管前端有没有做控制，后端都要守住最后一道防线。

比如你要实现IsAuthenticatedOrReadOnly的效果：

• 前端可以展示公开内容，但隐藏修改按钮；
• 后端必须在处理POST/PUT/DELETE请求时，通过权限类验证用户身份，确保只有登录用户才能执行修改操作。

简单来说：前端验证管体验，后端权限管安全，两者缺一不可，必须同时实现。

内容的提问来源于stack exchange，提问作者Hunter Books