Utilizar validações em JavaScript é suficiente para uma validação eficiente?
Exemplo: Validação de datas.
- É necessário verificar também no código?
- Quais as desvantagens de só realizar validações via cliente-side podem causar?
Utilizar validações em JavaScript é suficiente para uma validação eficiente?
Exemplo: Validação de datas.
Vou considerar que o AP fala das validações que poderiam ser feitas exclusivamente no lado do cliente. Existem validações que são inerentemente impossíveis de serem feitas sem ajuda do servidor. São casos que dependem de informações que o cliente não tem e ou que a informação não esteja em estado definitivo.
Vou falar no uso da web embora as condições valham para qualquer tipo de cliente. Na web a validação no servidor é fundamental, já em outros tipos de clientes onde o código fonte não está disponível, onde você tem controle de quem tem acesso ao cliente e a rede é fechada essa necessidade não é tão importante assim. Claro que sempre poderá ter um risco em deixar a verificação só no cliente, mas é preciso entender o ambiente onde o sistema rodará, a cultura onde ele será utilizado. Para tudo existem exceções. Em alguns casos o risco devidamente avaliado e considerado baixo pode ser compensador. Ainda assim não é desejável que deixe todo controle no lado do cliente.
Os principais motivos já foram ditos nas outras respostas, vou resumir:
Você pode ter problemas de:
Você tem que validar tudo, mesmo que use ferramentas prontas do framework para delegar essa validação. É comum o programador esquecer de validar algumas coisas. Por exemplo, ele valida a data entrada, mas esquece daquilo que não é óbvio que pode estar errado em alguma situação específica. Ele não pensa como o hacker/cracker que vai tentar fraudar seu sistema. Precisa validar se a informação não vai abrir buracos de segurança no sistema. Mas cuidado com as ferramentas que parecem validar bem mas só fazem algo superficial. Exemplo: ValidateRequest
do ASP.NET (que não está disponível no .NET mais moderno). Ela não está errada, o erro é usá-la achando que ela resolve todos seus problemas.
Você pode fazer uma validação só no cliente se ela sozinha não importa para o sistema. Pode ser alguma coisa que sirva para facilitar a experiência da UI dando uma informação adicional para o usuário, mas que a informação não seja importante se está correta e principalmente se ela não é enviada para o servidor. Se a informação não será persistida e não irá influenciar em outras operações não há porque validar no lado do servidor. Mas isto é raro. Apenas é bom ter consciência disto para não adotar uma única solução cegamente.
Em alguns casos é preciso questionar se deve realmente validar no lado do cliente. Há casos que validar só no servidor pode ser a melhor escolha. Não quer dizer que você deve esperar a submissão de todos os dados para validar tudo de uma vez. Você vai validando dado a dado conforme eles vão sendo disponibilizados pelo usuário através de um serviço de validação no servidor sob demanda. Mas mesmo fazendo isto, quando o dado for submetido em definitivo, a validação precisa ocorrer novamente (a não ser que não tenha nova submissão e os dados enviados anteriormente já sejam usados, mas tenho dúvidas se isto funciona sempre). A única vantagem desta abordagem é que você evita criar a validação em uma linguagem diferente (usa só o C# e não precisa ter a validação escrita em JS também, facilitando o DRY, apesar que com o WebAssembly isto pode mudar). Tem a desvantagem óbvia de gerar mais tráfego e processamento no servidor.
Validar dados sendo enviados pelo usuário só no javascript não é o suficiente por causa de:
se o usuário desativar o javascript, você pode acabar com dados inválidos no servidor
se o usuário for malicioso, pode mandar dados inválidos para o servidor
no caso de um ataque MITM, a validação no servidor seria um dificultador a mais
validações no servidor fazem um site menos suscetível a robôs maliciosos
Em resumo... vale a pena precaver contra todos esses agentes desconhecidos, fazendo a validação no servidor (que é o agente mais confiável) como sendo a principal... e no javascript, como sendo um agilizador de validação, por não necessitar de ir no servidor.
Nota: apesar de eu ter mencionado várias formas de ataques que podem ocorrer, não significa que somente a validação no servidor vá resolver tudo. Outras medidas são necessárias contra um Man In The Middle por exemplo, como usar certificado SSL para o seu domínio, entre outras.
Em um resumo bem simples: a validação em tempo real no cliente promove a usabilidade enquanto a validação no lado do servidor garante a segurança e integridade dos dados.
Em um sentido amplo, não. Aí o escopo envolve não apenas C# e WebForms, mas também outras tecnologias.
Como a natureza do cliente pode ser amplamente modificada (através de outros scripts, por exemplo), não é seguro manter toda a validação apenas no cliente. Os dados enviados para o servidor podem ser perfeitamente alterados sem necessariamente seguir as regras definidas no cliente.
Operações de persistência que envolvam verificação de integridade referencial (vulgo dependência entre entidades de dados) são normalmente feitas do lado do servidor.
Outra coisa é o escopo transacional de uma operação de persistência, que tem a ver também com validação. Em uma aplicação assíncrona, a única maneira de garantir atomicidade de operações é realizando o processamento do lado do servidor.
O caso em que isso não pode ser feito é em Frameworks em que simplesmente não há a separação entre cliente e servidor, que é o caso do Meteor.
Um bom exemplo disso, é uma API
central, ser consumida por diversos clientes, como um client web
e outro Android
.
O client web
pode até fazer a validação, mas e se o Android
não fizer? Os dados
serão processados da mesma forma?
Em uma aplicação que estou desenvolvendo, faço validação na API
(server
), no client web
e no client Android
. Ao menos uma validação básica o server
tem que ter, para garantir que no minimo os dados estarão sendo tratados corretamente na hora de processá-los.
Bem, tudo depende da regra de negócio envolvida com a validação. Tratando-se de usabilidade devemos executar validações no lado cliente, mas por segurança a única forma de garantir que a validação será feita é no lado servidor, principalmente em ambientes web.
A validação não é suficiente em apenas um dos lados (servidor ou cliente), deve haver uma certa combinação entre ambos.
Em alguns aspectos o melhor é validar no lado do cliente, poupando largura de banda e processamento do lado do servidor, mas ainda assim deverás/poderás validar no lado do server apenas a "real consistência dos dados".
Existem alguma validações que deverão unicamente ser realizadas no lado do servidor, mas estas precisam ser bem feitas e ser o mais eficiente possível.
Não confie nos dados provenientes dos clientes!
Validação no lado do cliente e dentro do servidor servem para coisas distintas: Veja bem, suponha que o cliente tenha certo conhecimento e tente burlar a integridade do seu banco. Se você fizer a validação apenas no lado do cliente ele pode facilmente burlar sua segurança manipulando a DOM por exemplo. Ou seja, dados do cliente não são confiáveis, validando esses dados no servidor a confiabilidade aumenta. Ou seja:
Validação do lado do cliente promove melhor usabilidade e agilidade para o seu usuário;
Validação do lado do servidor promove integridade e confiabilidade dos dados salvos em seu banco de dados e reduz o risco de que possíveis tentativas de burlarem a segurança acabem por te dar dor de cabeça;