Почему проверка email регекспом — не задача клиента

Сегодня на созвоне комьюнити (делать созвоны на 2 часа в 10 утра субботы я больше не буду) мы обсудили много вопросов про систем дизайн: метрики, компромиссы, архитектуры, много обсуждали BDUI и даже его запроектировали.

Разберём безобидную идею — сложная проверка email на клиентах (iOS/Android/Web) в форме регистрации.

Одно из правил проектирования "Всё, что влияет на безопасность, деньги и целостность данных, обязательно проверять на сервере". Почему?
🟣Безопасность. Мы можем долго говорить про фишинг и реверс-инжиниринг, но правила проверок всегда видны атакующему. Для почты это не всегда важно, но все же.
🟣Слишком много реализаций. Три платформы — три реализации. Легко получить расхождения.
🟣Бизнес правила всегда идут от сервера: формат, уникальность, email/телефон/username, блокировки, инвайты, доступность региона. Это все относится к валидации.
🟣Единая точка правды. На бэкенде проще логировать попытки, строить алерты, включать капчу

Конечно, не стоит выносить ВСЮ проверку на пробелы, очевидные ошибки на сервер (хотя на проверке это тоже нужно делать). Но валидация на клиенте — это только легкий UX и простые подсказки юзеру.

Не усложняй. Опытный инженер не должен превращать сложность в челендж своих навыков. Вся его большая экспертиза и опыт — обязательны, но для того, чтобы все делать элегантно и просто. Понимать уместность и важность любой дополнительной сложности.

Наша экспертиза не строится на "я всемогущ", а на "я знаю, что нужно". Именно так определяется сложность и навык. Упростить все по максимуму и оставить только необходимую сложность.