保护 Play 的 REST API

【问题标题】：Securing Play's REST APIs保护 Play 的 REST API
【发布时间】：2012-10-08 06:18:55
【问题描述】：

我正在尝试将Play 2.x 与backbone.js 一起用于一个项目。我的目的是在服务器端创建 RESTful API（所有响应主体都在 JSON 中，所有请求主体也在 JSON 中）。

我想使用 Facebook OAuth（服务器端）来验证我的请求。为此，我将play-authorize 用于OAuth。我遇到的问题是用户会话信息存储在 Play 中的会话对象中。我真的不想在我的 HTML 代码中使用播放模板，如何在没有播放模板的情况下在客户端使用会话对象。

还有什么措施可以在使用 Play 时防止 CSRF/XSS 攻击。

【问题讨论】：

【解决方案1】：

也许我误解了您的问题，但请注意 Play 是无状态的。这意味着“会话”存储在发送到服务器的 cookie 中。您可以将字符串值存储到该 cookie 并从浏览器访问它们。

现在，您不想在其中存储关键值，而是服务器端代码可以识别并允许您解决问题的东西。

【讨论】：

实际上我有相关的问题stackoverflow.com/questions/12964102/… 关于无法访问客户端的播放会话。我也知道播放 cookie 是加密的，因此我无法读取它。我想在此页面上的 HTTP 请求中传递 cookie，但无法访问它。这会有所帮助。
cookie 值使用密钥签名，因此客户端无法修改 cookie 数据（否则将失效）。我不认为它们是加密的。这意味着您应该能够获得价值（授予，从未尝试过）