javascript - 用户权限处理

Question

这是关于网站用户权限的最佳实践问题。如果用户无权在页面上执行某些操作，是否更好 A. 在渲染和隐藏按钮之前进行这些安全检查 B. 继续渲染按钮并在用户单击按钮时进行安全检查，并在他们没有权限时通知他们。

我倾向于 B 有几个原因。其中两个原因是更快的初始加载时间并且对用户来说也更清楚。如果他们没有看到该按钮，他们可能不明白由于安全原因它不存在，这可能会导致呼叫支持。

我很想听听对此的其他意见。

Answer 1

即使按钮被隐藏，您也应该始终在执行某些操作之前进行安全检查。请记住，无论您的网页提供什么按钮，客户端都可以发送他想要的任何 HTTP 请求。

当然，在显示按钮时检查用户权限也会很有用。我认为，最好的做法不是隐藏它们，而是将它们“变灰”或以另一种视觉方式显示，某个动作存在但无法执行。如果他首先必须按下按钮来检查它们是否在工作，这对用户来说会很烦人。