系统程序开发，参数校验放前端还是后端？两边都写会不会多此一举？

参数校验不是二选一，而是前后端各做各的：前端把不合格输入拦在页面里，后端守住所有入口的最终关口。按2026年常见交付习惯，后端校验不可省略，前端校验是为了体验，两边都写不算多此一举，但要注意分工，否则就是重复劳动。

前后端都要做，但目的不一样

前端校验的核心是即时反馈，让用户少等一次网络请求；后端校验的核心是安全兜底，因为任何前端验证都能被绕过。两者解决的问题不同，所以两边都做是互补，不是重复。

• 前端校验：管格式、必填、长度、一致性，目标是不让用户来回改。
• 后端校验：管类型、范围、权限、唯一性，目标是保证数据安全落库。
• 成本区间：前端改动成本低、反馈快；后端校验覆盖面广、维护成本略高，但漏校验的代价通常远高于多写几行。

举例：注册页面前端校验了密码长度，用户立刻看到提示；但攻击者用脚本发超长密码，后端不校验就会造成存储异常。所以后端校验是安全底线。

前端校验做到什么程度算合格

按2026年项目交付节奏，前端校验覆盖用户直接触碰的错误即可：必填项、邮箱手机号格式、密码长度、两次密码一致。用常见错误输入去点按钮，如果都能在页面内拦住，就算合格。

有些规则不适合放前端，比如库存、余额这类依赖服务器实时状态的值，前端判断不了。硬做只会复杂化，还可能因数据过期误判。

后端校验必须覆盖哪些点

后端是最后一道防线，至少覆盖类型转换、长度限制、枚举值合法性、范围检查、权限核对。

按经验，可以把后端校验分成三类：格式校验、业务校验、安全校验。格式校验放在接口入口，业务校验放Service层，安全校验在鉴权中间件处理。

验证覆盖率的一个实用做法：直接绕过前端直连接口发异常请求，如果异常请求能成功入库或返回200，就说明有缺口。提测前专门跑一遍这种测试，通常能发现不少漏项。

三层校验法：一套能落地的分工方法

1. 第一层：前端交互校验——只做输入框层面的格式、必填、长度，出错时给出明确提示。
2. 第二层：接口入参校验——后端在Controller或入口处对类型、范围、枚举值做统一校验，不通过直接返回错误码。
3. 第三层：业务逻辑与持久层校验——在Service层检查业务规则（如库存、状态），必要时用数据库约束兜底。

每层面对的风险不同：第一层降低用户操作成本，第二层防止恶意请求，第三层保证业务一致性。如果跳过第二层，接口错误提示会混乱；如果只做第二层，用户交互又生硬。

交付现场的经验是：有一个项目为了抢上线，后端只做了非空判断，其余全指望前端。结果上线后有人用脚本直接调接口，脏数据进了一堆，团队花了三五个工作日才清洗完，比原本省下的校验工时高出数倍。此后我们规定，后端校验属于交付红线，不允许砍。这类情况不是个例，具体清洗时长通常在3~5个工作日，因为要逐条核对数据来源和影响面。

执行时还要注意：第一层不要做业务校验；第二层错误码要统一，方便前端映射；第三层数据库约束要提前设计，别等上线后补。

常见坑：哪些做法会导致返工

常见的坑是前端校验写一堆、后端没几行，以及前后端两套标准。下面几个是最容易返工的：

• 前后端用不同正则验证手机号、身份证号，用户改了还是错。
• 后端信任前端传来的id，不校验归属权，导致越权。
• 错误码不统一，前端拿不到可提示的信息，只能写“系统错误”。

合格做法是前后端共用一个校验规则文档，或者用描述性错误码，让前端能映射成用户看得懂的话。见过一个项目，前端只校验11位数字，后端却要求“1开头”，结果用户号码以2开头时反复被弹错，后来统一了规则才解决。

适用场景与边界

这套“前后端都做、三层分工”适合常规Web系统、小程序和App接口，尤其适合多个端共用一套后端接口的项目，后端兜底能省掉很多重复工作。

但如果你做的是内部工具或原型验证，可以只做后端校验；纯展示页面没有数据提交，就不需要校验。项目周期特别紧时，宁可牺牲前端校验也要保住后端校验——后端漏校验的修复成本远高于前端。

如果犹豫要不要补已有接口，按“是否对外开放、是否涉及资金、是否被多个端调用”来排优先级，先补高风险的。

常见问题

前端校验能替代后端校验吗？

不能。任何前端代码都能被绕过，后端必须独立完成安全校验，否则数据正确性无法保证。所以后端校验是底线，不能省略。

两边都写会不会很费时间？

会多一点工，但按常见交付经验，分摊到每个接口通常只占该接口总工时的5%~10%，换来的是上线后少返工，整体更划算。

前端校验写多了会影响性能吗？

不会。前端校验只是本地JS逻辑，不占网络资源。写多顶多是代码冗余，不影响性能，但建议按规则复用，避免维护困难。

后端校验要写在Controller层还是Service层？

格式和基础合法性建议在Controller层，业务规则放Service层，这样能尽早拦截，也方便统一错误处理。安全校验在鉴权中间件里做。

有没有完全不需要后端校验的场景？

仅限纯内部、无写入的演示系统或完全封闭可信的环境，否则都不建议省掉。即便内部工具，也建议至少做一次基础格式校验。

行动建议：新项目启动时，先列参数校验清单，分前端、后端、数据库三列逐项核对。如果正卡在前后端互相推责，先补后端校验，再让前端补体验。按上述三层方法，通常一到两周内就能理顺。