Laravel中通过Ajax提交表单到控制器时的验证方案选择问题

最优方案是前端JavaScript验证 + Laravel后端验证两者结合使用，没有任何单一验证方式可以覆盖性能、体验、安全三方面的需求。

前端验证的作用与局限性 #

• 作用：
  • 提前拦截无效请求，减少不必要的服务器资源消耗，同时可以给用户即时的输入错误反馈，不需要等待接口返回结果，用户体验更好
  • 可以很方便实现实时校验类的交互需求，比如输入过程中提示格式错误、密码强度检测、两次输入密码是否一致等
• 局限性：

  前端验证完全不可靠，用户可以通过关闭浏览器JS、修改页面JS代码、直接用工具模拟Ajax请求等方式轻易绕过所有前端校验，恶意提交非法数据，因此绝对不能只依赖前端验证做数据合法性判断。

Laravel后端验证的必要性 #

后端验证是数据合法性的最后一道强制防线，不管前端有没有做验证，后端都必须对所有传入的请求数据做完整校验：

• 可以直接在控制器中调用$request->validate()方法快速做参数校验，也可以创建表单请求类（Form Request）把验证逻辑和控制器业务逻辑解耦
• Laravel验证失败后会自动返回带错误信息的422响应，Ajax请求可以直接读取响应中的错误提示展示给用户
• 完全规避前端校验被绕过带来的安全风险，避免非法数据进入业务流程、数据库，防范SQL注入、参数越权等常见安全问题。

如果是逻辑非常简单、访问量极低的小型表单，也可以只做后端验证，但绝对不能仅靠前端验证保障数据安全。

内容的提问来源于stack exchange，提问作者Mohamed Hesham