发现一个用 vue 开发的网站上线了还是开发环境，这么勇的吗。。

死亡线来临时候一切皆有可能

b 站之前就是啊，b 站员工说是故意的。

可以只用 vue 的 dev 版本，业务代码跑在生产模式，完全可以

@azh7138m 不可以的吧，心太大了，chrome 装个 vue-dev-tool 插件分分钟给你 model 层改的明明白白

@yamedie 改了又如何，不过是自己的一亩三分地

死限来了什么都敢做。

前端再怎么出问题也不会有什么大问题

这很恐怖吗？

@yamedie 后端随意那就忍着，要不然就开了。就算不开 dev 前端什么改不了？

@yamedie #6 数据检验不全靠后端，难道还有信前端的吗？

@kslr @binux
你们说的都对，请贵司一定用 npm run dev 的方式部署生产环境，一定坚持不在前端做表单验证哈

居然有这么多人认为这很危险……
以为用了生产模式就安全的那才叫心大，后端直接开放接口。

怎么看是开发环境

有人觉得前端改点什么都没影响，后端全能拦截，真的这样吗？
没有代码混淆，前端跟接口之间那点签名鉴权逻辑分分钟让人研究明白吧。
微信里的 webapp 如果不限制浏览器，隐藏地址栏隐藏控制台，还不让人改爆？多少公众号在用 localStorage 存关键数据，在 url 显式传参，又不是没见过……

@yamedie #12 我们前端都是静态的，npm build 就完了，干嘛要 npm run ？就算是 npm run production 都不行。
前端做表单验证都是为了好看的，这和「数据检验全靠后端」没有半毛钱关系。

在讨论的不是后台有没有能力拦截所有非法请求，当然有能力，真的有后端把所有的 case 都照顾到了吗？这是分红和责任心的问题。
某外卖软件消费负 xxx 元，反向充值的新闻了解一下。某打车软件让人研发外挂，损失上百万报案抓人的新闻了解一下。

@binux “数据检验不全靠后端，难道还有信前端的吗？”，不在前端做表单验证，你不信前端，你信用户是吧？我懂了

@yamedie 前端本来就是暴露在外面的啊，改爆啥？敏感数据和操作肯定是后端鉴权的

@yamedie 这都什么乱七八糟的，请你重新审题

@yamedie #17 那你说的这些例子有哪个被前端拦住了？

@falcon05 17 楼两个例子

@binux 拦住的会出新闻吗？

啊 审题这个词不太合适，都是在围绕问题做解答，你不能因为回答错误，就无视逻辑与关系死不承认，又没人会怪你。

@yamedie #23 那你确定你举的例子前端没有验证？不是被人直接灌的数据？

@yamedie 你说的这些用工具模拟提交就可以了，可能压根不都经过浏览器，跟前端没关系。也不存在后端没做好，前端凑的安全策略。

@kslr 不是，我发现这帖子几乎所有人论调都是：完全后端做表单验证数据校验（潜台词 前端小把戏，没必要管，随便改），难道不应该前后台做 2 次校验吗，这不应该是规范吗？我替前端感到不服。

@yamedie #18 前端校验一下是为了减轻后端压力吧

@yamedie 可以这样操作，一样，可以只有业务代码做压缩，外部依赖库用 dev 版本

恕我直言，后端才不管你前端做不做数据验证。

@yamedie 前端不做校验，完全做后端校验确实没问题啊，前端在怎么校验，混淆逻辑写的在牛逼，抓包到提交的数据结构和地址，直接模拟提交，还是得看后端校验啊。我觉得前端校验更多只是给正常操作用户更快的反馈，有时候用户手抖输错了，前端效验可以更快的反馈错误信息。所以不觉得前后台效验是规范，能前后台都做当然更好。

@yamedie 很多年前，页面就是没校验，每次提交时后台校验，这种方式体验很差，所以后来用 JS 在表单填写过程中就验证，节省用户时间。这么说你明白了吧，前端校验是优化体验，而不是保障安全

@yamedie 我手机打字不太方便，前端和后端的检验都是无可替代的，少了谁都不好，比如前端失败后的业务逻辑提醒等等。
问题集中在前端验证是否万无一失，答案是否。

当然这是理论情况，我司现在就是前端验证，后端基本上不验证，活久见...

@phpcxy 恕我也直言,前端才不管后端做不做数据校验,反正页面正常 ajax 传给后端的参数合理合法就行,出了事锅该是谁的就是谁的.
@bestkayle 可以这么说,也不止如此而已,打个不太合适的比方(可能会惹怒很多后端大佬): 民工都知道筛细沙要从粗到细过很多次筛子,为啥这里的高级码农不知道.

一直尝试在 web 安全的角度讨论前端该不该做一次表单验证,
但各位后端大佬给我的感觉是: 给你脸了?后端能做所有表单验证为什么轮到前端做?
如果真这么完美可能世界上就没那么多黑天鹅事件了, 墨菲定律恐怕也是胡说八道.
好了我不再回复了,各位后端大佬继续嗨吧打扰了

@yamedie 还有，你举的那两个例子都只能说明后端代码的单元测试没有覆盖全面。跟前端需不需要验证不是必然关系

不知道大家有没有遇到过。注册个手机号或者邮箱（譬如 199 号段或者 gmail 邮箱带+号），有时候前后端的正则都不一样的

说个台湾的事，也是 vue 的项目，线上用的开发环境。后端也没做验证，当时被注入了说被中 g 网军入侵，我特意查了一下，住在大陆的绿营学生写的代码，笑。

前端做校验是为了用户体验，为了方便用户的使用。和安全无关。

一切前端来的数据都不可信，这难道不是 web 开发的基本原则。前端校验是用户体验，后端校验才是为了安全，必不可少。别说 js 压缩混淆不行，用 WebAssembly 都不行。

dev 上线最大的问题在于体验，带很多不必要的东西，文件体积也大。而且可能暴露公司代码水平不高，或者像乞丐 VIP 一样偷偷骂人

前端接口都暴露着的,安全性问题肯定得靠后端来维护.
端校验只是出于用户体验,过滤一些太过无意义的信息.

@yamedie
抱歉，我作为前端开发，我也从来不信前端提交的任何信息。甚至认为，前端提交的信息都是不可信的。你不要“替前端感到不服”，这是客观事实，不服也得认。
前端所谓的“校验”，只是为用户体验而设计的，跟安全关系不大。甚至可以认为，如果不考虑用户体验，前端校验不要也无所谓，后端防范才是必需的。
最危险莫过于“前端校验就安全”这种错误的观念。

作为一个稍有常识的后端程序员在写代码的时候不应该相信前端传过来的任何数据。前端所以的检验都只应该是为了用户体验，尽早的给用户做出提示。

@yamedie 安全问题从来都是后端的锅，别给前端强行加戏了，这么多人指出来，你还犟啥？？？

@yamedie 前端的信息永远不是可信的 我做过的项目无论如何都不会省掉后端的校验. 只是一个 dev 包上去了而已. 没必要这么上纲上线吧

很常见啊
（我当年不懂 webpack 的时候也干过）

至于楼上那些说这么干很危险的，可能也是不懂前端吧。。。

@yamedie 如果你是前端就别不服了，前端在大部分公司都没你想的这么重要，纯前端想有话语权是不可能的。看清楚大环境，前端火热只是自己的小圈子罢了。
开放下思维，做后端或者产品才是出路啊。

你就算直接把接口通过 swagger 暴露给用户都没关系。
后端不要 dev 模式上线即可。