XSRF in einer RESTful Anwendung

Question

Ich bin ein ASP.NET Entwickler Rails und RESTful Ansatz versuchen zu lernen. Um zu verstehen, ich plane, einen E-Mail-Client zu schreiben, der RESTful GET Aufruf an den Server würde die E-Mails und POST zu holen E-Mail senden.

Was sind die besten Praktiken (generisch und / oder spezifisch für Rails) gefolgt werden, so dass die obige Anmeldung ist keine XSRF Anfälligkeiten nicht ausgesetzt wird.

Answer 1

Die Ruby on Rails Security Project hat einen guten Beitrag zu diesem Thema.

Im Wesentlichen Rails 2.0 und höher haben einen eingebauten Schutz für XSRF Angriffe. Jede Form über den Formular-Helfer erstellt wird, umfasst ein verstecktes Feld mit einem speziellen Zeichen darin. Jedes Mal, wenn ein POST (oder Nicht-GET) empfangen wird, wird das Token vor einem Geheimnis auf dem Server überprüft. Wenn sie nicht übereinstimmen, wird eine Sicherheitsausnahme ausgelöst und die Anforderung ignoriert.

Lesen Sie den Artikel. Sie machen einen besseren Job es zu erklären.