Надо ли проверять права пользователя на просмотр шаблонов в RESTful приложениях?

Question

[Quber]

Собственно, делаю админ панель на AngularJs.
Надо ли проверять у пользователя права на просмотр шаблона? Или достаточно проверять у него права при выдаче json с данными?

Comments

[TroyashkA]

Если в шаблоне есть информация, которую не хотелось бы демонстрировать простому пользователю, то можно, выполнить простенькую проверку на клиенте и средиректить его на страничку с ошибкой. Если делать серьезную проверку, то делать это не на уровне клиента. Например, на уровне веб-сервера, тем самым возвращать контент админки (js, css, etc) только админам.

[Quber]

@TroyashkA: а что может быть страшного в том, что злоумышленник получит css файлы, картинки и шаблон без данных?

[TroyashkA]

@Quber: Подобный контент несет в себе определенную информацию. К примеру, если у тебя используется angular в админке и кто-то получил клиентский js-код, то он будет знать, каким образом клиент общается с сервером (допустим, через некий API). Или можно выяснить какие вообще js-библиотеки используются и так далее. Это уже повышает вероятность успешного взлома. Картинки и стили несут меньше полезной информации для злоумышленника, но она также присутствует. А закрывать или не закрывать доступ - это уже зависит от тебя.

[Quber]

@TroyashkA: понял, спасибо.

Answer 1

[Sergey Romanov]

Так как данные будут отрисовываться в шаблоне, то если нет данных, нет и отрисовки.

Ангуляр создан для подобной работы. Это когда у вас логика, вычисления вашего приложения и права проверятся на сервере в API а интерфейс рисутется уже на клиенте. Если вы генерите шаблоны на сервере, то тогда вы используете Ангулят просто для загрузки и вставки шаблонов. Это не то для чего он сделан. Можете просто использовать jQuery для этого. Грузить аяксом шаблон и вставлять его в элемент.

Нет смысла в Ангуляре если вы не управляете данными на шаблоне.