Почему приходит пустое обязательное поле из формы?

Question

[iol77]

Приветствую.
В форме-квизе на сайте есть как минимум 2 обязательных поля.
Без поля срочность заказа не получается провалиться на следующий этап и номер телефона, без которого не отправляется заявка.
Сегодня мне пришло два пустых письма.


Руками мне кажется такое не получится.
Перехватывают? Подменяют? Сайт на https.
Форма тут - https://quiz.nikolaspotolki.ru/
Если кто захочет тестировать, давайте номер типа 111111111, плиз.

Answer 1

[ThunderCat]

Нельзя надеяться на проверки на стороне клиента, во первых конечно же перед отправкой данных надо попытаться скриптом проверить что все поля заполнены (это ничего не гарантирует, но исключает случайную отправку формы или простую подмену данных), а во вторых на сервере обязательно проверить наличие данных нужного формата, и если не соответствуют - ничего никуда не отправлять, а на фронт отправить ошибку типа "не заполнены обязательные поля".

Главное правило веб разработчика - по умолчанию все что приходит с клиента - хрень, мура и попытка взлома, до тех пор пока не доказано обратное.

Comments

[iol77]

Хорошо, сделаю я все возможные проверки. Как попробовать съэмулировать такую отправку формы?

[ThunderCat]

CyclusVitalis, во первых нихрена не достаточно, я в хтмл в инспекторе могу спокойно убрать атрибут реквайред, и вперед, все уйдет как миленькое, во вторых - естественно это минимальная защита на фронте, ей можно можно пренебречь и сразу проверять на бэке, но лишней не будет.

[Алексей Горбунов]

ThunderCat, Для добросовестных пользователей достаточно. А если кто-то уже начал искать способ обойти, то эта проверка не только бесполезна но и вредна.

[ThunderCat]

Алексей Горбунов, хм, насчет тех кто ищет - их много разных, скажем так - это "многоуровневая" защита от дураков, все же ковырять скрипты чуть сложнее, а проверять что отправляет скрипт на сервер мало кто из юных хацкеров соображает. Вреда в такой защите вообще ноль (откуда вообще такая мысль?). Защиты от нее тоже не особо много, но, как я и писал - это необязательное действие. И естественно не исключает проверки на сервере.

[Алексей Горбунов]

ThunderCat, А чего только две проверки? Давайте 200 проверок еще добавим, они же без вреда.
Каждая будет отсеивать дураков. Многоуровневая защита она такая.