Алена
Если вас не затруднит...
ну вот к примеру, вы завели переменную или храните в локалСторадже данные.
начнём с того, что эти данные банально и элементарно меняются через девтулзы. уже уязвимость
таким образом, когда вы отправляете запрос, уверенности, что данные не изменены снаружи, нет и быть не может
если делать таймер на бэкэнде (по факту - записывать время начала сессии), то на фронтенде вы просто выводите фейковый таймер, но вся проверка на бэке. тогда всё надёжно