Validación de Formularios: ¿Cliente o Servidor?

[newboy_master]

Buenas, no sabía si publicarlo en "Usabilidad" o aquí, si está mal reubicarlo sin problema.

Quería abrir un debate sobre la validación de formularios de vuestras webs.

Por un lado hay desarrolladores que los validan del lado del cliente sin más, aunque ello crea un problema si desactivamos Javascript en nuestro navegador por ejemplo.

Nos la saltaríamos como si nada e incluso podríamos provocar un error si insertamos caracteres raros en el campo de correo electrónico o cualquier otro.

Otros simplemente validan de cara al servidor, pero, ¿Cuál es la mejor opción? ¿Validación en ambos lados?.

Yo siempre he sido algo precavido en la seguridad web, por lo que para evitar cualquier incidente, lo dejo todo validado.

¿Y tú?

Salu2.

[maycolalvarez]

siempre se debe validar desde servidor, debe ser la prioridad máxima de seguridad, la validación del lado del cliente es opcional y depende de si deseas enriquecer la interfaz, pero NO aporta seguridad alguna.

de hecho en la validación del servidor se deben de tomar en cuenta: XSS, CSRF, SQL inyections y Upload inyections, y ninguno de ellos puede evitarse desde javascript en el cliente.

es un tema ampliamente discutido y debatido en el foro, favor realizar una búsqueda antes de repetir temas.

[newboy_master]

Sé que existe información sobre las validaciones, pero no he visto apenas sobre debates, no se trata de una consulta sobre cómo se realiza una validación. Lo he abierto solo por si le interesaba a alguien este tema.

Si no vale la pena, se puede cerrar.

Salu2.

[jalex16]

Creo que lo correcto es en ambos lados.
La validación con javascript permite darle menos trabajo al servidor, y el servidor se encarga específicamente de la seguridad.

[maycolalvarez]

Iniciado por jalex16

La validación con javascript permite darle menos trabajo al servidor, y el servidor se encarga específicamente de la seguridad.

es cierto, hasta que el usuario desactive javascript o un "malintencionado" duplique el formulario y lo envíe sin validación alguna, pudiendo alterar los datos en la base de datos, CSRF, inyecciones XSS o más.

lo único que puede hacer javascript es ahorrarle peticiones HTTP al servidor, para no validar más de la cuenta, pero el no revalidar o reconfirmar en el servidor representa una falla grave de seguridad y es poco profesional.

PD: mi sentido pésame para quien votó por la primera opción.