Web应用是否可以仅在客户端处理用户权限校验？

一、仅客户端校验是否可行？ #

不可行，核心原因如下：

• 客户端代码完全可被用户篡改：普通用户可以通过浏览器调试工具修改user.id或league.owner_id的变量值，也可以直接跳过判断逻辑手动调用新增球队的接口，客户端校验逻辑会直接失效
• 客户端校验仅能用于提升用户体验，比如提前隐藏/禁用无权限用户的操作按钮、减少无效请求，完全不能作为权限校验的安全防线

二、是否需要额外做服务端校验？ #

必须做服务端校验，所有涉及数据修改、权限管控的操作，服务端的校验是唯一可信的安全防线。

三、如何在不新增数据库连接的情况下实现服务端校验？ #

不需要新增额外的数据库查询或连接，仅需调整原有业务逻辑的查询条件即可，实现逻辑如下：

• 首先确保当前登录用户的ID从服务端的认证上下文（比如JWT解析结果、Session存储数据）中获取，绝对不接受客户端传入的用户ID作为校验依据，避免参数伪造
• 处理新增球队请求时，你本来就需要校验目标联赛是否存在、状态是否合法，直接在查询联赛的SQL语句中增加owner_id = 当前登录用户ID的查询条件即可：

  -- 原查询逻辑（仅校验联赛存在）
  SELECT * FROM leagues WHERE id = ?
  -- 调整后的查询逻辑（同时校验权限，无额外查询开销）
  SELECT * FROM leagues WHERE id = ? AND owner_id = ?
  

• 如果查询不到对应的联赛记录，直接返回403 Forbidden权限不足错误，终止后续的新增球队逻辑；如果查询到结果，再执行后续的球队插入操作即可。

这种实现方式只是给原有查询增加了一个过滤条件，没有产生额外的数据库请求，也就不会占用新的数据库连接，同时完全满足权限校验的要求。以下是服务端接口的伪代码示例：

async function addTeamApi(req, res) {
  // 从服务端认证上下文获取当前登录用户ID，不采信客户端传的用户参数
  const currentUserId = req.auth.userId;
  const { leagueId, teamInfo } = req.body;

  // 一次查询同时完成联赛存在性校验+权限校验，无额外数据库开销
  const targetLeague = await League.findOne({
    where: {
      id: leagueId,
      owner_id: currentUserId
    }
  });

  if (!targetLeague) {
    return res.status(403).json({ error: '无权限操作该联赛' });
  }

  // 执行后续新增球队逻辑
  await Team.create({ ...teamInfo, league_id: leagueId });
  return res.status(200).json({ success: true });
}

内容的提问来源于stack exchange，提问作者anolan23