php - 适用于移动设备的 REST Web API - CSRF 保护？

Question

我了解 CSRF 攻击以及对它们的内部和外部防护，我已经阅读了有关它的整个 owasp 页面，但在保护 REST API 方面我有点不知所措。

我正在为移动应用程序开发 RESTful Web API。为了验证用户身份，我使用了一个 oauth 服务器包(密码流授权)和我为 facebook 手动登录流程定制的社交授权(我们的数据库中有本地帐户和 facebook 帐户)。这两项授权都会生成我们特定于应用程序的访问 token ，客户端(移动应用程序)将其通过每个请求(在授权 header 中)发送到服务器，以确保他/她是登录用户。

仅此一项难道不能缓解 CSRF 攻击窗口吗？如果不是，我应该怎样做才能保护我的服务器免受这些攻击？

附注我想检查引荐来源网址 header 在这里没有帮助，因为引荐来源网址与我的服务器的域不同，对吗？

Answer 1

首先，CSRF 攻击需要一个名为浏览器 的重要应用程序。没有人可以简单地欺骗您的移动应用程序向 api 服务器发送请求和凭据。因此，您的移动应用程序特别安全，不会受到 CSRF 攻击。

但是，如果您使用相同的 api 服务器与 Web 前端通信(如果您的应用程序也有相应的 Web 应用程序)，则会出现问题。在这种情况下，您必须将移动应用程序和 Web 前端的 API 服务器分开，并针对 Web 前端 API 调用使用 CSRF 防护 ACTIVE。或者，您可以使用相同的 API 服务器，如果您能以某种方式区分网络和移动设备的调用。