В моем web приложении есть секция на которой реализованы "Мои заказы" (забегая вперед, я не могу использовать регистрацию). Когда кто-то заходит на неё (включая сотрудников) - отображаются заказы для конкретного пользователя (опущу сейчас этот момент, но вернусь позже).
У заказа есть только три дополнительных действия: "Отменить", "Подтвердить", "Дополнить". Пользователи делятся на три категории: клиент, менеджер, исполнитель. Каждая из них имеет свое право на одно или несколько действий.
Я не знаю наверняка, как явно хранить привилегии пользователей локально на момент сессии, коим образом, чтобы нельзя их было подделать через консоль или вкладку "source" в DevTools.
Рассмотрим пример, если ссылка имеет вид, как ex.ru/id=12345&user=m (код ниже писал "на лету")
let user = { // станет, если данные будут найдены в бд
"user":"admin" // главное, остальное в объекте не касается вопроса // admin, потому что ...&user=m
};
let frm = new FormData();
let maxAjaxTimeout = 30000;
let xhr = new XMLHttpRequest();
let url = new URL(window.location.href);
frm.append('user_id', url.searchParams.get('id'));
frm.append('user_sm', url.searchParams.get('user'));
xhr.timeout = maxAjaxTimeout;
xhr.open('post','some_name.php', true);
xhr.onload = () => Object.freeze(user = JSON.parse(xhr.response));
xhr.onerror = () => ajax_error(xhr.timeout, statusInternet, {
"":"",
"":"",
"":""
});
xhr.send(frm);
Я заморозил свой объект, так, что через консоль свойства не меняются. Здесь вытекает вопрос - "А можно ли обратно разморозить его через консоль или как либо не меняя исходники"?
Код, который выше, он грузится первым. Он явно больше, потому что есть некие другие нюансы и проверки, которые сейчас ни к чему. Получается, что я знаю кто зашел - новый пользователь (или старый, но со стертыми данными и/или по прямой ссылке, однако в случае со старым клиентом - он получает на телефон прямую ссылку на свой/и заказ/ы) или сотрудник.
Далее, некие параметры в зависимости от обстоятельств отправляются на сервер, где возвращается JSON
строка (заказы), а потом цикл выводит всё на экран:
let i, html = '';
for(i = 0; i < json.length; i++){
// всякая магия
// потом код <a ...>...</a>
if(user.user === 'admin'){
// html += все три действия
}else if(user.user === 'perf'){
// html += только два действия
}else if(user.user === 'client'){
// html += 1 действие
}
}
Получается, что если объект нельзя разморозить ни как (я этого не могу знать точно, поэтому прошу советов), то подделать привилегии нельзя, ОДНАКО во вкладке Source в DevTools я могу изменить порядок проверки if
и будучи user.user === 'client'
получить код кнопок трех действий, если подделать код и запустить функцию.
Ок. Есть другой вариант событий, более странный для меня - все тоже самое, только в объект добавлять код трех действий для определенного пользователя. Так уже надежней.
Как же мне хранить привилегии, чтобы в зависимости от них, что-то делать и при этом пакостник не смог "поиграть" и например дополнить информацией заказ будучи не имея на это привилегий (сделать это может только менеджер)??
upd: Забыл сказать, что самое надежное, это отправить некие параметры на сервер и вернуть уже готовый код на страницу, но я плохо знаю php
в частности сортировка массива, поэтому пытаюсь сделать всё на фронте...
Оффтоп:
Вопрос косвенно касается этого. Когда функция из JSON
строки создает заказы (цикл for
). На кнопку меню по заказу, которая открывает список возможных действий в зависимости от пользователя, добавляется уникальный идентификатор заказа (один на один заказ). Как его можно хранить по другому, чтобы легко получить и отправить на сервер, где по идентификатору найти заказ и сделать что-то с ним?
Спасибо!