Возник неоднозначный вопрос касательно клиент-серверной архитектуры:
Вводные:
- Пишет все 1 разработчик (backend и frontend).
- Единица измерения эффективности - время разработки (например, изменить код в клиенте быстрее, чем изменить его на клиенте и сервере).
В большинстве сайтов\приложений, которые я пишу, прослеживается следующая логика:
- Клиент - несет в себе логику отображения данных. Например, при нажатии кнопки - клиент запрашивает у сервера список объектов (передавая в параметрах запроса параметры выборки) и затем отображает клиенту.
- Сервер - несет логику "прослойки" между БД и клиентом, предоставляя роуты доступа (с методами для работы с GET, POST и т.д). Например, сервер получает запрос
GET https://domain.com/users
с параметрами выборки (offset, columns), парсит эти параметры в SQL запрос, достает из БД список пользователей и возвращает обратно клиенту. - Сервер - хранит данные. Здесь понятно.
В какой-то момент я пришел к выводу, что клиент и сервер дублируют логику друг друга. Условно говоря, клиент имеет функционал для доступа к URL'y /users/
(с методам getUsers()
, removeUser(id)
и т.д.), а сервер предоставляет роуты (с методам get(users), delete(user)
и т.д.) для работы с таблицей users
.
Ради интереса, я изменил логику сервера, чтобы был только один роут доступа к данным: https://domain.com/database
.
В качестве параметров, этот роут принимает:
- Название таблиц(-ы) (в нашем случае
users
, но можно сделать иjoin
). - Параметры для выборки данных (метод select\delete\etc., параметры where, offset, sort и т.д. в виде JSON-объекта).
- Данные пользователя. При запросе через этот роут, сервер проверяет, авторизован ли пользователь и имеет ли он доступ к таблицам (например, пользователь с правами
user
может получить только доступ к базеusers
, но не кstaff
и т.д.).
При каждом запросе проверяется авторизация и проверка параметров на SQL-инъекцию (чтобы не прошел параметр method: "SELECT * FROM users; -- "
).
В результате, если раньше сервер имел логику настройки роутов и проверки данных - отпала логика настройки роутов и дублирования методов GET, POST и т.д. для каждой таблицы. Теперь есть только 3 универсальных метода GET POST DELETE
для всей базы данных.
Однако, видимо, есть причины, почему такая практика не получила распространения. Первая мысль - возможны проблемы с защитой. Но авторизация и проверка данных на SQL инъекции осталась. Грубо говоря, разницы между двумя вариантами в плане защиты нет.
Вопрос: почему так не делают? Какие минусы у такого подхода, что может пойти не так и следует ли дальше использовать такой подход?
Возможный ответ: почему нельзя! Можно! Есть же Google Firebase!
Уточнение: вопрос довольно объемный и однозначного ответа нет. Поэтому готов обсуждать любые утверждения в ответах\комментариях, чтобы "дойти" до истины.