Nunca deve acreditar numa informação do cliente, esta é a regra básica.
Você pode incluir filtros e validações no lado do cliente, afim de proporcionar uma melhor experiencia de uso, já que os erros serão imediatos, não tendo que aguardar a resposta do servidor.
Mas, obrigatoriamente deverá fazer a mesma verificação no servidor.
Não há como saber a "origem de requisição", esquece. O CORS apenas afeta o contexto do navegador, ele não é a única forma de comunicação com sites. O CORS é feito para que o navegador, honesto, não permita conexões entre sites.
Você pode simplesmente "burlar isso" usando o cURL, por exemplo:
curl ^
-H "Origin: seusite.com" ^
-H "Referer: https://seusite.com" ^
-H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36 OPR/54.0.2952.54" ^
-d "nome=12345&email=xxxxxx&senha=000" ^
-X POST ^
https://seusite.com/registrar
Note que estamos fingindo estar no seusite.com
acrescentando os cabeçalhos de Origin
e Referer
, o que irá enganar qualquer validação de "origem". Além disso, acrescentamos o User-Agent
para fingir ser um navegador comum. Depois disso enviamos qualquer informação arbitrária, como: nome=12345&email=xxxxxx&senha=000
, se o filtro for somente no cliente, nós ignoramos completamente.