用于移动设备的 REST Web API - CSRF 保护？

Question

我了解 CSRF 攻击以及对它们的内外保护，我已经阅读了有关它的整个 owasp 页面，但在保护 REST API 方面我有点不知所措。

我正在为移动应用程序开发 RESTful Web API。为了对用户进行身份验证，我使用 oauth 服务器包（密码流授权）和我为 facebook 的手动登录流定制的社交授权（我们的数据库中有本地和 facebook 帐户）。这两种授权都会生成我们特定于应用程序的访问令牌，客户端（移动应用程序）通过每个请求（在 Authorization 标头中）发送到服务器，以确保他/她是登录用户。

仅此一项就不会缓解 CSRF 攻击窗口吗？如果不是，我应该如何保护我的服务器免受这些攻击？

附：我想检查引荐来源网址在这里没有帮助，因为引荐来源网址与我服务器的域不同，对吧？

Answer 1

好的，首先，CSRF 攻击需要一个名为browser 的重要应用程序。没有人可以简单地欺骗您的移动应用程序将请求连同凭据一起发送到 api 服务器。因此，您的移动应用程序特别不受 CSRF 攻击。

但是，如果您使用相同的 api 服务器与 Web 前端通信（如果您的应用程序也有相应的 Web 应用程序），则会出现问题。在这种情况下，您必须将 API 服务器用于移动应用程序和 Web 前端，并使用 CSRF 预防 ACTIVE 用于 Web 前端 API 调用。或者，您可以使用相同的 API 服务器，如果您可以通过某种方式将呼叫与网络和移动电话区分开来。