客户端iPhone应用程序中的Rails CSRF令牌

我在计划一个主要通过客户端应用程序通过API公开的Web应用程序。我试图从iPhone客户端向概念验证应用程序发出一些请求，但不断收到CSRF令牌错误。有没有办法从应用程序获取令牌，然后作为POST请求中的参数传递？我知道我可以关闭protect from forgery，但不想通过这样做来危及安全。客户端iPhone应用程序中的Rails CSRF令牌

来源

2012-01-08 Jack

CSRF是一种攻击，只能在Web上运行。因此，如果您只想将您的应用程序用作API，则可以关闭它，而不会有任何安全缺陷。

来源

2012-01-09 03:24:26 iGEL

我同意Aayush Kumar。 CSRF只适用于网络，这意味着攻击源于网络，API是为iPhone客户端提供的，不会奇迹般地保护您免受攻击。 – Emirikol 2012-10-11 12:25:21

其他答案并不完全准确。攻击者可能会创建一个基于Web的攻击，该攻击利用为ios设计的开放式端点，并且缺少CSRF保护。您需要确保您创建的任何端点在某种程度上受到这种攻击的保护（CSRF不是保护移动端点的推荐方式，但您一定需要确保新的端点不受基于Web的攻击攻击）。

来源

2017-12-15 01:14:27

客户端iPhone应用程序中的Rails CSRF令牌

回答

相关问题