保護Play的REST API

Question

我正在嘗試使用Play 2.x和backbone.js作爲項目。我的意圖是在服務器端創建RESTful API（所有響應主體都使用JSON，所有請求主體也使用JSON）。

我想使用Facebook OAuth（服務器端）來驗證我的請求。爲此，我爲OAuth使用了play-authorize。我遇到的問題是用戶會話信息存儲在播放中的會話對象中。我真的不想在我的HTML代碼中使用播放模板，如何在沒有播放模板的情況下使用客戶端的會話對象。

在使用Play時，我還可以使用哪些措施來防止CSRF/XSS攻擊。

Answer 1

也許我誤解了你的問題，但請注意，Play是無狀態的。這意味着「會話」存儲在發送到服務器的cookie中。您可以將字符串值存儲到該cookie並從瀏覽器訪問它們。

現在，您不希望將關鍵值存儲在那裏，但是服務器端代碼可以識別並且可以幫助您解決問題。