バックエンドの役割って、DBへのデータの出し入れ以外にあります？？

Question

php等バックエンドでの処理って、クライアントから送られてきたデータの出し入れがほとんどですよね？（バリデーションもデータの出し入れに含むものとします）

業務系システムでwebの技術で作られていることがありますが、
ああいうのはネイティブアプリにしてデータはクラウド上のDBで管理し、
そこに直接接続するような作りでいいのでは？インフラの手間も減るしフロントとバックに別れなくて良いし。という疑問からこの質問をしました。

Answer 1

先人達もその辺はスケールアウトも考慮に入れて色々考えてきた訳です。

以下参考。
アプリケーション・アーキテクチャ・ガイド2.0解説

Answer 2

クライアントサイドからのリクエストが改竄されないという保証は原理的に難しいという前提があります。
(例えばMan in the middle攻撃を自分で行えばTLSによる暗号化は意味を為しません)

その上で、伝統的なRDBMSやKVSに限って言えば、
サーバーサイドアプリケーションが担っている粒度での権限管理が出来ないので、エンドユーザー側で好きにSQLを発行できる状態になるとアプリケーションが成立しなくなりますね。

例えば、あるテーブルに対して自分のデータだけSELECTを許可する様な制御はRDBMSでは難しいです。

Comments

[退会済みユーザー]

firebaseの cloud firestoreはどうなんでしょうか？
あれもクライアントサイドから直接DBに出し入れするようなものですが

[tanat]

> 伝統的なRDBMSやKVSに限って言えば、

と前提をつけているので、
firestoreなどのクライアントサイドからの直接アクセスを前提としたものであれば可能ではあります。
が、それだけでWebアプリケーションに必要な機能を全部実装するのはかなり大変です。
(googleの他の機能と連携するのであれば、それは結局サーバサイドで実装しているのと層は同じなので)

Answer 3

ネイティブアプリを開発・配布・管理するのは、Webでフロントエンドを開発するより手間かと思います。

Comments

[maisumakun]

Webにしても専用アプリを使うにしても、セッション・権限管理はサーバサイドで行う必要があります。

[退会済みユーザー]

状態管理をクライアントサイドで行うのであればセッションは不要では？
現にvue/vuexでセッションを使わずログイン状態などを維持する方法があるようです

[maisumakun]

> 現にvue/vuexでセッションを使わずログイン状態などを維持する方法があるようです

「セッション」と呼ぶかどうかはともかくとして、権限の切り分けが必要な場合には何らかの状態管理を「両側で」行う必要があります。

[miyabi_pudding]

横槍失礼します。
質問者さん、
vuexにて（ようはフロント側から）ログイン管理など、セッションと同様の機能を使うには、大きく分けて、firebaseを使う方法と、WebSplageを使う方法があります。
firebaseを使う方法は、フロントエンドのみではありませんので、セッションかそれに該当するサーバーサイドの機能を使っているはずです。
そして、WebStrageは、セキュリティに関わる部分での使用は避けるべきです。
https://techracho.bpsinc.jp/hachi8833/2019_10_09/80851
特にユーザーの重要な情報を扱う際はまだまだWebStrageを使うべきではないと思います。

つまり、サーバーサイドのセッションに取って代わるにはまだ難しいということです。
（ログインに関しても、サーバーサイドか、firebaseを使うべき）
maisumakunさんの仰るとおり、両側で状態管理する際の、フロント側で、WebStrageを使うのはありかと思います。
つまり、なんにせよ、フロントのみでやるにはセキュリティガバガバになるのでやるべきではないってことです。

Answer 4

まぁいろいろありますよね

• クライアントのリソースや環境に依存しない
• ソースのブラックボックス化
• 他社と同じデータを共有できる