Estou migrando do PHP para o React/Node. Fiz um sistema de autenticação, onde o Front comunica o Back e verifica se o token é válido ou não. O problema é que as rotas do meu sistema estão definidas no Front. Cada rota carrega um componente diferente, uma funcionalidade diferente.
Minha dúvida é se o cliente tem acesso a essas rotas pela ferramenta de desenvolvedor. Pensando em segurança, não faria sentido poder visualizar a configuração de rotas se nem autenticação eu tenho. No PHP, o servidor quem fazia o filtro de rotas e carregava as Views, o cliente não sabia o que tinha atrás da tela de “Login”.
Pensei em jogar o React para o Back e entregar as telas renderizadas para o cliente (SSR), assim como o PHP faz. Mas o que me incomoda é que isso foge um pouco do objetivo do React não? Até onde vi, React é Front.
Dado esse problema, me pergunto se é uma boa prática renderizar o React no Back para não expor os endpoints da aplicação. Independente dos mecanismos de proteção, exibir as urls é uma camada de segurança a menos.
