Client-side Input Validation
在用户输入的内容被发送到服务器之前,先在自己的浏览器里检查一遍格式是否正确的步骤。
简单来说
本地输入验证,是指用户在网站或应用里输入内容的那一刻,信息还没送到远方的服务器,自己的电脑(浏览器)就先检查一遍格式是否正确的过程。这就像把信投进邮筒之前,先在自家门口确认信封上有没有贴邮票、地址有没有写对。这个检查在信真正送到邮局之前,就已经在家里完成了。
这样提前过滤,可以在不用往返服务器的情况下,快速抓出错别字之类的简单失误。问题在于,这项检查完全依照屏幕端代码事先写好的规则表运作。如果规则表本身就是错的,那么无论输入多么正常的内容,都会一直被打回。真正的判定其实要问服务器才知道,但把守在服务器前面的门卫,手里拿的却是一份错误的名单,硬是把人挡在了外面。
在报道中是这样出现的
文章中的博主打开 Google Workspace 注册页面的源代码后才发现,"错误是在本地输入验证函数中产生的"。他在浏览器开发者工具里强行关闭这个验证函数后,注册顺利通过——这说明服务器根本没有真正拒绝这个域名,而是屏幕端代码里内置的一份正则表达式列表,把一个正常域名错误地归类成了邮件服务商并将其拦下。人们看到报错信息时,常常会误以为"服务器拒绝了我的信息",但像这个案例一样,很多时候请求根本还没送到服务器,就已经在屏幕这一层被挡住了。
亲手试一试
在常用的注册表单里故意输入一个不符合规则的值(比如格式怪异的邮箱地址)试试看。如果一输入,屏幕立刻弹出红色错误提示,那很可能是本地输入验证在起作用——请求根本没送到服务器就被拦下了。打开浏览器开发者工具,暂时关闭 JavaScript,再输入同样的值试试,很多时候这次就会顺利通过,不再报错。这个差异,正是屏幕端验证和服务器端验证之间的分界线。