Proteggere i moduli senza una dipendenza completa da JavaScript

Come fa un modulo web a rimanere utilizzabile e sicuro se JavaScript non si carica o si blocca?

Azioni, metodi, campi e invii funzionano senza script. Il server convalida tutti i valori, riceve input sicuri in caso di errori e fornisce messaggi comprensibili specifici per ciascun campo; i processi asincroni rimangono estensioni progressive.

Gestore come invio

• Gestore come invio – Un pulsante richiama solo JavaScript; Non accade nulla in caso di errore di script, risorsa bloccata o interazione precedente.

• Affidabilità del client – Il server accetta valori presumibilmente verificati e consente l'elaborazione di richieste manipolate o inviate direttamente senza verifica.

• Perdita di dati a causa di un errore – La risposta del server cancella tutti i campi o visualizza solo un messaggio di errore generico, rendendo inutilmente difficile la correzione e l'orientamento.

Percorso radice incompleto

• Percorso radice incompleto – Il modulo ha un indirizzo di invio valido, un metodo appropriato, campi denominati e una risposta di successo o di errore lato server.

• Validazione lato server – Input obbligatori, formato, autorizzazione e regole aziendali vengono convalidati nuovamente indipendentemente dagli attributi del browser o dal codice lato client.

• Mantenimento del contesto – Dopo un errore, input sicuri, mappatura dei campi, riepilogo e focus rimangono tracciabili, anche dopo un cambio completo di pagina.

Validazione lato server

1. L'intero flusso HTML e lato server viene inizialmente verificato per la correttezza, gli errori obbligatori e i valori non validi senza caricare JavaScript.

2. La validazione lato client e l'invio asincrono vengono sovrapposti e utilizzano gli stessi nomi di campo, regole e messaggi di errore comprensibili.

3. I test bloccano gli script, provocano interruzioni di rete e inviano direttamente valori manipolati, controllando al contempo il mantenimento dell'input e del focus.

Mantenimento del contesto

• Errori nei moduli dovuti a problemi di script o di rete e al rifiuto lato server di valori considerati validi lato client.

• Risposte di errore senza mappatura dei campi, input valido ricevuto o indicazione chiara della prima correzione richiesta.

Caso decisionale: "Gestore come invio"

Un modulo di contatto viene inviato al server normalmente senza JavaScript e visualizza i campi non validi con il testo del messaggio ricevuto. Con JavaScript abilitato, viene visualizzato lo stesso feedback senza cambio di pagina; il codice client bloccato non modifica né la validazione né l'invio corretto.

Come "Proteggere i moduli indipendentemente da JavaScript" si collega alle decisioni correlate

Una domanda approfondita con relativa risposta Rilevare i problemi di idratazione prima che il contenuto scompaia per gli utentiCome rilevare la modifica o la rimozione di contenuti server corretti durante l'idratazione

Vengono offerti ulteriori punti di vista Proteggere la validazione lato server indipendentemente dal frontend.

Se vuoi implementare concretamente la "protezione dei moduli indipendentemente da JavaScript", puoi andare a Sistemi web robusti a cui fare riferimento in seguito. Lì, l'attenzione si concentra su "Robustezza progressiva e matrice di test" e "Percorso base completo".

Conclusione: Proteggere i moduli indipendentemente da JavaScript

I moduli robusti hanno un percorso radice completo lato server. JavaScript può migliorare la velocità e il feedback, ma rimane intercambiabile e non affidabile in termini di sicurezza.

Fonti e ulteriori informazioni

La seguente documentazione e gli standard ufficiali forniscono la classificazione tecnica.

• Convalida dell'input — Iniziativa W3C per l'accessibilità webLa linea guida WAI richiede la validazione lato server e mostra come gli errori vengono segnalati in modo comprensibile, accessibile e specifico per campo.

• Foglio riassuntivo sulla validazione dell'input — OWASPOWASP spiega perché la validazione deve avvenire al confine di un sistema affidabile e integrare i controlli lato client.

• Moduli — Standard HTMLLo standard HTML definisce elementi nativi dei moduli, controlli funzionanti e l'invio dei dati dei moduli senza richiedere JavaScript.