Rails + AndroidでAuthenticity_token

Question

私は、レールサーバーと通信するAndroidアプリケーションを開発しています。私はauthenticity_tokenを無視したくないが、私はそれが正解であると尋ねるとは思わない。私のPOSTリクエストを保護するために何ができるのですか？

Answer 1

Androidアプリケーションの場合のように、APIを使用する際に真正性のトークンを要求するのは珍しいことです。これは、セッションでのみ可能なcross-site request forgery attacksから保護するために真正性のトークンが生成されるためです。通常、APIにアクセスする場合、セッションを使用しない（または使用できない）ことがあります。だから私はここで真正性のトークンを生成することにあまり心配しないだろう。

あなたのPOSTや実際にリクエストを保護するために、いくつかのオプションがあります。最も単純なのは、各リクエストをHTTP basicで認証することですが、より複雑ですが間違いなく安全性が高いのはOAuthです。どちらの方法でも、あなたのアプリを使用してあなたのウェブサイトに接続する人々のためのセキュリティが提供されます。