React.js应用客户端代码混淆压缩后，是否仍需服务端校验？能否篡改校验？

1. 是否仍需进行服务端输入校验？ #

必须做服务端校验。客户端校验只是用来提升用户体验——比如实时给用户反馈输入错误、减少不必要的请求，但完全不能作为安全防护的依赖。原因很明确：

• 客户端的所有逻辑都能被篡改或绕过，哪怕代码被压缩混淆，也有工具能反编译、修改后重新执行。
• 攻击者可以直接用Postman、curl这类工具发送不符合规则的数据，完全绕开前端页面。
• 服务端必须自己守住数据安全和业务逻辑的底线，比如防止非法数据写入数据库、避免SQL注入、拦截不符合业务规则的请求（比如负数金额、重复提交等）。

2. 是否有人仍可篡改客户端React.js代码或表单元素以绕过校验？ #

当然可以，压缩混淆只是提高了一点门槛，但拦不住有经验的攻击者。常见的绕过手段包括：

• 用浏览器开发者工具直接改DOM：比如去掉Material UI表单元素的disabled属性，修改输入框的校验规则，甚至直接触发表单提交事件。
• 修改本地JS代码：通过工具反编译bundle.js，找到校验逻辑删掉或改掉，替换本地文件后执行，或者在浏览器控制台注入代码跳过校验。
• 直接发API请求：完全跳过前端页面，构造符合接口格式但不符合校验规则的请求发给服务端，根本不经过前端的校验逻辑。

内容的提问来源于stack exchange，提问作者Andy N