Wie verhindert man HTTP-Anfragen Fälschung, wenn der Inhalt privat ist? (im Grunde nur Anfragen von meiner Schnittstelle, nicht Browser zulassen)

Question

Entschuldigung für die Frage, aber ppl scheinen csrf nur mit Formulareinreichungen oder Formularduplizierung (idk warum) zu verbinden.

Meine Idee wäre, die Daten von externen Anforderungen zu sichern. Legen Sie für jede Anfrage ein Token fest und starten Sie das Tokening, seit sich der Benutzer anmeldet, damit jeder Angreifer nicht einfach eine vorherige Seite laden, das Token abrufen und es für die nächste Anfrage senden kann. Ist es eine gute Idee, jede Anfrage von Anfang an zu Tokenisieren, damit der Inhalt der privaten Benutzer nicht gestohlen wird? Ich sehe dies als einen starken Angriff auf nicht geschützte soziale Websites. Jeder Angreifer stehlen Nutzerdaten von einer anderen beliebten Website.

Answer 1

Wenn ich Sie richtig verstehe, wäre nicht die passende Sache zu tun (Server-Seite), Cache-Control hinzuzufügen: private Header? Dies sollte dazu führen, dass jeder Cache und/oder Proxy den Inhalt für andere Parteien nicht zwischenspeichert. Verwenden Sie es in Verbindung mit https und Sie sollten in Ordnung sein.

http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html