REST風格的應用程序中的XSRF

Question

我是一位嘗試學習Rails和REST風格的ASP.NET開發人員。爲了理解，我打算編寫一個電子郵件客戶端，它將使RESTful GET調用服務器來獲取電子郵件和POST以發送電子郵件。

要遵循哪些最佳實踐（通用和/或特定於Rails），以便上述應用程序不會公開任何XSRF漏洞。

Answer 1

該Ruby on Rails Security Project有一個很好的職位。

從本質上講，Rails 2.0及以上版本對XSRF攻擊具有內置保護。通過表單助手創建的每個表單都包含一個隱藏字段，其中包含特殊標記。每次收到POST（或非GET）時，將根據服務器上的密碼檢查令牌。如果它們不匹配，則拋出安全異常，並且該請求被忽略。

閱讀文章。他們在解釋它時做得更好。