错误消息：本地或直接从服务器API？

Question

直接从服务器显示错误字符串通常被认为是安全的吗？

我正在开发一个直接与（相当弱）REST API进行通信的iOS应用程序。服务器有时会以JSON格式返回错误代码和消息。

我一直在处理这些错误，通过显示“我知道”错误类型的本地错误字符串。我不处理的错误代码将显示我的一般错误消息。

我的同事建议我直接从服务器显示错误消息，以便更快地进行API迭代（我们拥有API）。

这不是非常不安全吗？当然，它打破了MVC约定。 除本地化之外的任何原因都不好吗？

Answer 1

让服务器提供错误消息文本通常是一个坏主意。正如您所指出的那样，它将服务器上的UI和后端逻辑混合在一起，使本地化变得更加困难。