使用Angular框架开发时是否还需要搭建Backend-for-Frontend服务？

仅通过Angular无法实现与Nest.js中间件架构同等的安全等级，二者的安全能力有本质差距，核心原因如下：

• 所有前端代码（包括Angular编译后的混淆产物）最终都会下载到用户浏览器侧执行，任何加密逻辑、鉴权规则、敏感凭证、内部接口约定都可以通过浏览器调试工具、反编译手段提取，最多只能提升破解成本，做不到绝对的信息保密。
• 你当前搭建Nest.js中间件的核心安全价值，是把和不受管控的遗留后端交互的敏感逻辑放在了你完全可控的服务端运行：包括调用遗留后端的访问凭证存储、敏感返回字段裁剪、请求参数合法性校验、访问频率控制等操作，外部用户完全无法接触到实现细节，这是前端不可能实现的能力。
• 如果去掉中间件直接让Angular调用遗留后端，相当于直接把遗留后端的接口、你的访问凭证全部暴露在公网，很容易被恶意用户爬取数据、篡改请求发起攻击，完全达不到你现在架构的安全等级。

如果认为单独维护Nest.js服务部署成本较高，可以尝试以下轻量方案，不需要完全去掉中间层：

• 如果你使用的前端托管平台支持边缘函数/Serverless函数，可以把Nest.js中的中间件逻辑迁移到轻量的函数服务中，不需要单独维护后端服务实例，降低运维成本。
• 部分网关服务也支持自定义请求/响应拦截逻辑，你可以把参数校验、数据脱敏、凭证注入的逻辑放到网关层实现，替代自己搭建的Nest.js中间件。

由于你对后端、应用安全知识接触较少，可以按照以下路径循序渐进学习：

• 优先学习HTTP协议基础、常见Web攻击手段（XSS、CSRF、SQL注入、敏感信息泄露等）的原理和防护方案，建立基础安全认知。
• 再逐步了解服务端鉴权、访问控制、数据脱敏的常规实现逻辑，不要自行设计未经验证的加密、鉴权规则。
• 开发过程中优先参考所用框架官方给出的安全最佳实践，规避常见安全风险。

内容的提问来源于stack exchange，提问作者gkasdogan