javascriptで生成した数値をクライアント側で変更することが可能かどうか

Question

javascriptでゲームを作っています。
ゲーム内において、ある作業の結果をフォームで送信します。
その部分の抜き取りが下記のjavascriptです。

javascriptの中にフォームのhtmlを記載し、そのフォームの中に

<input type="hidden" name="point" value="' + value.point + '" > の形で、javascriptで計算した結果 value.point　を代入し、 <button type=\"submit\">登録</button>ボタンにより <form action="check.php" method="post">　　のphpに数値を渡します。

質問です。

この場合、セキュリティ的にクライアント側で何らかの操作をすることにより、
value.pointの数値の変更とかはできるものなのでしょうか?

出来るとなると、javascriptゲームがすべて成り立たなくなるので、基本的に
はできないとは思うのですが、javascriptそのものがクライアント依存のアプリ
なので、心配になり確認する次第です。

また、できるとした場合、防止策などご存じでしたらご教示いただきたくお願い
いたします。

よろしくお願いいたします。

<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.2.4/jquery.min.js"></script>
<script>
・・・
省略
・・・
    //結果表示
    function showResult(){
        $('<div class="image"><img src="result.jpg"></div>').appendTo('#loadarea').hide().fadeIn(2000);
        setTimeout(function(){
            $('#loadarea').html("");
            $('<p>結果</p>').appendTo('#result');
            $.each(result, function(key, value){
            $('<div class="title">' + value.title +　</div>').appendTo('#result');
            $('<div class="image"><img src="' + value.img + '"><form action="check.php" method="post"><input type="hidden" name="point" value="' + value.point + '" >  <button type=\"submit\">登録</button></form></div><br>').appendTo('#result');
            })
            $('<p>次へく？<p>').appendTo('#result');
            $('#try').show();
            },
            3000)
    }

省略
</script>

Answer 1

この場合、JavaScript を動作させるまでもありません。
直接、適当な値を POST してしまえば不正な値が採用されます。

対策は、規約で縛る。サーバ側ですべての処理を行う。他に 146 通りあります。
Qiita でもチート対策としていくつかは紹介されているので調べてみると良いです。

ただ、正直基礎的なセキュリティ知識(というかアプリケーション制作で必要な知識)が不足しているので、体系的な学習から始めたほうが良いと思います。

Comments

[tajix_japan]

有難うございます。
体系的に学習させていただきます。
チート対策という言葉が分かっただけでもありがたいです。
有難うございました。

Answer 2

te2jiさんの回答通りではありますが、
どうすればある程度セキュリティ措置をとれるか、の回答を試みてみます。

ゲームページがPHPにて実行している前提で話を進めます。

1. ゲーム開始時に、サーバー側でトークンを発行し、セッションに格納しておく。
2. JavaScript側では、変数に格納しておく。
3. 送信時に、ポイントと共にトークンを送信する（その際、HTMLにいちいち起こすと面倒で余計セキュリティ甘くなるので、Ajax通信にする）
4. PHP側では、送信されたトークンと、

セッションに格納されたトークンを比較、
合っていればポイント反映、合ってなければ不正な値として弾く

って感じである程度防げるかと。
ただ、これでもまだ不正する方法あるし、甘いかと思います。
とかく、重要な処理や不正チェックは、あくまでサーバー側でやるべきってことです。

Comments

[tajix_japan]

有難うございます。
アプリ側の制作ポイントが分かった気がします。
基本、javascriptは極力使わず、サーバー側で解決したいと思います。
javascriptでクライアント側を作らざるを得ない場合は
ご指導いただきました方法で作ってみたいと思います。

地獄を味わうところでした。
本当にありがとうございました。