Tu formulario comprueba el formato del email con JavaScript antes de enviar. ¿Sigue haciendo falta validar en el servidor?
Opciones
- No, porque el navegador ya lo comprobó
- Sí: los atacantes pueden saltarse el navegador y enviar peticiones (Opción correcta)
- Solo en los campos de contraseña del mismo formulario
- Solo en las peticiones que vienen de clientes móviles
Respuesta
Sí: los atacantes pueden saltarse por completo el navegador y enviar cualquier petición directamente al servidor
Por qué
Todo lo que hay en el cliente lo puede cambiar el usuario: puede desactivar JavaScript, editar la página o enviar peticiones con curl o Postman, saltándose tus comprobaciones.
La validación en el cliente es para la experiencia de usuario (respuesta inmediata). El servidor debe validarlo todo otra vez, porque solo el servidor está bajo tu control.
Regla: nunca confíes en el cliente.
Recuerda
Nunca confíes en el cliente; valida siempre en el servidor.