モバイルアプリとウェブで使用されるAPIを保護する方法

Question

ウェブサイトとモバイルアプリの両方で使用されるASP.NetにレストAPIを構築しています。そのモバイル部分が実行され、アプリケーションがハングするAuthトークンが生成され、すべてのリクエストのヘッダーとしてAPIに送信されます。

私は現在、APIのウェブアプリケーション部分を構築しようとしています。私がAPIのセキュリティを誤った可能性があることを認識しています。自分のAPIをCSRFに脆弱にしてしまうので、認証トークンを前後に送信されるWebアプリケーションに戻すことはできないようです。モバイルからCookieを設定できないため、モバイルからのCookieのAPIチェックもできません。

このAPIを保護して、ウェブサイトとモバイルアプリの両方で安全に使用できるようにするにはどうすればよいでしょうか？

Answer 1

ヘッダーを使用して認証キーを前後に渡すと、認証キーが妥当な時間内に期限切れになる限り、完全に正常であることが分かります。