骨干.js和基于角色的授权/客户端黑客攻击的可能性

Question

我习惯于在我的轨道视图中使用cancancan来显示/隐藏视觉元素，具体取决于用户权限。 例如，向允许添加新帖子的用户显示"添加新帖子"链接。

在主干应用程序中，我在开始时将整个应用程序发送到客户端，如何确保显示这些元素。 显然，我可以根据用户模型上的属性隐藏它们。 但是可以在客户端覆盖此属性。

只是想知道其他人正在做些什么来保护他们的应用程序免受人们弄乱客户端上的 js 的影响。 还是我太安全了（因为不会向客户端发送任何数据，因为授权仍在服务器上正常工作）。

Answer 1

我不会说你"太安全了"，但当然你必须依靠你的后端来防止未经授权的活动。甚至在您开始使用客户端框架之前，有人可以模拟您不得不阻止在服务器上访问的"添加新帖子"链接，没有任何变化。