android - Rails + Android 中的 Authenticity_token

Question

我正在开发一个与 Rails 服务器通信的 Android 应用程序。我不想忽略 authenticity_token，但我也不认为要求它是正确的答案。可以采取哪些措施来保护我的 POST 请求？

Answer 1

当您使用 API 时，很少需要真实性 token ，就像您在 Android 应用程序中那样；这是因为生成真实性 token 是为了防止 cross-site request forgery attacks ，这只有在 session 中才有可能……而且通常如果您正在访问您不(或不能)使用 session 的 API。所以我不会太担心在这里生成真实性 token 。

为了保护您的 POST——或者实际上是任何请求——有许多选项可供您使用。最简单的方法是使用 HTTP basic 对每个请求进行身份验证，更复杂但可以说更安全的是实现 OAuth .无论哪种方式都会为使用您的应用程序和连接到您的网站的人们提供一定的安全性。