XSRF в приложении RESTful

Question

Я разработчик ASP.NET, пытающийся изучить Rails и подход RESTful. Чтобы понять, я планирую написать почтовый клиент, который будет делать вызов RESTful GET на сервер для получения электронной почты и POST для отправки электронной почты.

Каковы наилучшие практики (общие и / или специфичные для Rails), чтобы вышеуказанное приложение не раскрывало никаких уязвимостей XSRF.

Answer 1

У проекта Ruby on Rails Security есть хороший пост на эту тему.

По сути, Rails 2.0 и выше имеют встроенную защиту для атак XSRF. Каждая форма, созданная с помощью помощников, содержит скрытое поле со специальным токеном. Каждый раз, когда принимается POST (или не GET), токен сверяется с секретом на сервере. Если они не совпадают, генерируется исключение безопасности, и запрос игнорируется.

Прочитайте статью. Они лучше объясняют это.