找到答案了，永远不要相信用户输入。
1.前端：在打包的时候，记得把Vue.config.devtools设置成false，这样就不能被调试，也取不到this.$vm了。(Vue.config.devtools = process.env.NODE_ENV !== 'production')
2.后端：添加接口调用权限卡控，要卡控到每个用户所属的角色能够调用哪些接口才行。