可以使用Chrome DevTools覆盖登录逻辑吗？

Question

我使用以下项目作为应用程序登录认证逻辑的基础：https://github.com/cornflourblue/angular-authentication-example

当后端出现故障时，我手动更改了前端以避免验证用户凭据来解决 $http 调用的问题。

这让我想知道是否可以使用Chrome DevTools或Firefox的Dev Tools绕过 $http 调用，使应用程序认为凭据已被接受。

到目前为止，在我自己的尝试中，似乎 Chrome 仍然运行原始文件，并且任何已更改的文件都存储在其他地方并未使用。但是我无法在 Chrome DevTools 中仅使用该方法进行黑客攻击，但我不是专家，很好奇它是否可能。

- Aggieborn

---

你可以欺骗客户端应用程序。但是，为了做任何有用的事情，它可能必须将某些内容发送回服务器，而服务器不应该被愚弄。 - Barmar

@Barmar 我同意。我认为后端需要一些验证来限制从后端进行的登录尝试。而且我们的大多数数据服务请求都需要在请求头中包含身份验证数据。 - Aggieborn

哈！尽管您可以在Chrome Dev工具中执行各种酷炫的操作，但所有更改都仍然是本地的。如果更改实际生效/任何信息被揭示；那将意味着像网上银行这样的事情的终结！ - user7234396

Answer 1

是的，可以修改客户端脚本并黑掉任何JavaScript代码...这就是为什么需要登录过程的目的，应该分配有效的会话凭据给客户端，以便在每个请求中向服务器提供以便验证和相应地执行。基本上，您的应用程序必须确保在建立有效会话之前不会交换任何敏感信息，从而使任何客户端代码规避变得过时。

- Dmitry Matveev