RESTful 应用程序中的 XSRF
我是一名 ASP.NET 开发人员，正在尝试学习 Rails 和 RESTful 方法。 为了理解这一点，我计划编写一个电子邮件客户端，它会对服务器进行 RESTful GET 调用以获取电子邮件，并通过 POST 调用来发送电子邮件。
要遵循哪些最佳实践（通用的和/或特定于 Rails 的），以便上述应用程序不会暴露任何 XSRF 漏洞。
I am a ASP.NET Developer trying to learn Rails and RESTful approach. To understand, I am planning to write a Email client, which would make RESTful GET call to the server to fetch the emails and POST to send an email.
What are the best practices (both generic and/or specific to Rails) to be followed so that, the above application is not exposing any XSRF vulnerabilities.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
Ruby on Rails 安全项目关于此的一个好帖子。
本质上，Rails 2.0 及更高版本具有针对 XSRF 攻击的内置保护。 通过表单助手创建的每个表单都包含一个带有特殊标记的隐藏字段。 每次收到 POST（或非 GET）时，都会根据服务器上的机密检查令牌。 如果它们不匹配，则会引发安全异常并忽略请求。
阅读文章。 他们在解释方面做得更好。
The Ruby on Rails Security Project has a good post on this.
Essentially, Rails 2.0 and above have built-in protection for XSRF attacks. Every form created via the form helpers includes a hidden field with a special token in it. Each time a POST (or non-GET) is received, the token is checked against a secret on the server. If they don't match, a security exception is thrown and the request is ignored.
Read the article. They do a better job explaining it.