前端后端通信规则问询：客户端是否需同时访问前后端服务器

首先澄清一个常见的表述误区：你看到的资料里提到的「前端向后端发送请求」，和你当前React应用在浏览器端通过Ajax发请求是完全一致的场景，只是表述角度不同——这里的「前端」指的是运行在客户端的前端代码，不是指部署静态资源的前端服务器，不用混淆二者的概念。

如果你的后端接口本身是面向公网设计、做足了安全校验，那么允许客户端同时访问前端静态服务器和后端接口服务器是完全合理的，这也是目前前后端分离架构的标准实现形态。

你可以根据自己的项目需求选择对应的部署模式，二者安全层面的区别如下：

• 客户端直连后端（你当前在用的模式）
  适合绝大多数面向C端用户的公开项目、中小型项目，需要做好的安全措施包括：
  • 后端全接口必须做鉴权校验，比如JWT、Session校验，禁止未授权访问敏感接口
  • 配置严格的CORS规则，仅允许你的前端域名跨域调用接口，不要直接设置Access-Control-Allow-Origin: *
  • 做好常规接口安全防护：参数校验、SQL注入防护、接口限流、CSRF防护等
• 前端服务器做反向代理转发请求
  即客户端所有请求都只发给前端服务器，前端服务器将/api前缀的请求转发给后端，这种模式下客户端不需要直接访问后端服务器，适合以下场景：
  • 后端属于内部服务，不适合直接暴露到公网，比如企业内部管理系统
  • 需要统一做全链路的请求鉴权、日志收集、限流降级的中大型项目
    这种模式的安全优势是可以将后端隐藏在内部网络，对外仅暴露前端服务器一个入口，有效缩小攻击面。

如果你的项目规模不大，后端已经完成了完整的安全校验，直接允许客户端同时访问两个服务器即可，不需要额外增加代理层提升部署复杂度。如果你的项目有合规要求、或者后端本身是内部服务，就可以加一层反向代理，避免后端直接暴露给公网。

内容的提问来源于stack exchange，提问作者user8356202