17

У меня всего два поля: имя пользователя и email. Правила валидации очень простые: имя 1-255 символов и email в соответствии с регулярным выражением; оба поля обязательные. Всё это можно достичь на чистом HTML: два поля, второе имеет тип email, и оба с атрибутом required. Даже при отключённом JavaScript сам HTML не даст отправить пустые или невалидные данные.

И тем не менее, нужно ли валидировать данные на стороне сервера (я пишу на Laravel). Мне не так трудно прописать все эти правила, но как это всё тестировать, если пустые или невалидные данные мне просто HTML не даст отправить?

4
  • Даже при отключённом JavaScript сам HTML не даст отправить пустые или невалидные данные. - это, вроде, браузерозависимо. Может и давать 29 янв 2018 в 6:41
  • 1
    тут даже html не причем. А если кто-то отправит невалидные данные, к примеру REST клиентом?
    – StereoFlo
    29 янв 2018 в 6:42
  • Это да, пускай даже вероятность этого невилика. 29 янв 2018 в 6:42
  • 8
    Вероятность как раз велика. Меня недавно попросили посмотреть безопасность одной программы ... исходники серверной части были под ионкубом, пришлось смотреть что браузер отправляет ... обнаружил, что кавычки перед передачей экранировал JS код. Влил через консоль подправленную версию скрипта, которая этого не делала, оказалось дальше переменная шла в SQL-запрос без проверок, текстом ... Получили полноценную инъекцию. Так что любая защита на клиенте может подсказать атакующему где возможно на сервере дыра.
    – Mike
    29 янв 2018 в 7:16

2 ответа 2

27

Главное правило программирования бэкенда - никогда не доверять клиенту!

Забудьте что там на клиенте есть какая-то валидация. Она сделана не для вас, она сделана для пользователя.

Злоумышленник всегда может нажать F12 и исправить вашу форму как ему будет угодно, удалив всю валидацию к чертям:

А продвинутые хакеры знают про wget и curl, позволяющие отправить любой запрос вовсе не заходя на сайт в браузере.

Наконец, можно даже утянуть вашу форму на отдельный сайт в инете, позволив тем самым любому неспециалисту вводить любые данные.

9
  • От души ответ! Спасибо Вам большое за объяснения, Павел! 29 янв 2018 в 7:01
  • Одно но! Сайт может блокировать любые источники. которые уходят за приделы домена или под-доменов. По этому - это не так то и просто будет сделать. Ну конечно не каждый сайт, так умеет, большинство даже не знают как это делать, но тем не менее - это возможно.
    – And
    29 янв 2018 в 7:05
  • @And каким образом? Обычный GET или POST (не Ajax) заблокировать можно только по Referer. Но Referer может быть и отключен, он никогда не был обязательным заголовком. 29 янв 2018 в 7:28
  • 5
    @And как?! Приведите пример как это сделать. 29 янв 2018 в 8:20
  • 2
    @And не, не хватит. IP у клиента с одной машины будет один и тот же, хост вообще любой можно написать. Да и меняться они не будут, с какой страницы запрос ни делай.
    – user181100
    29 янв 2018 в 8:31
12

Конечно нужно, так как никто не запрещает через консоль браузера изменить весь html код на вашей странице и в том числе убрать required у любых полей формы

Или еще хуже, если у Вас например присутствует ajax на странице и пользователь видит адреса, по которым отправляются запросы, он может простой функцией в консоли начать спамить запросами на сервер

5
  • Благодарю Вас за ответ! 29 янв 2018 в 7:01
  • А чем принципиально адреса для "ajax" отличаются от других адресов на сайте, что "пользователь может простой функцией начать спамить"?
    – user181100
    29 янв 2018 в 8:29
  • @D-side разница в лени, как правило если есть ajax то ничего писать и не нужно, достаточно скопировать и чуть-чуть дополнить
    – Peresada
    29 янв 2018 в 8:40
  • @Peresada куда скопировать, где выполнить? со стороннего ресурса CORS не даст выполнить
    – teran
    29 янв 2018 в 10:55
  • @teran я говорил про консоль браузера, соответственно я и имел ввиду это - с той же страницы через консоль
    – Peresada
    29 янв 2018 в 11:03

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.