용도가 제한된 액세스 토큰은 요청 스푸핑 및 재생 공격으로부터 보호하여 메시지를 수신한 사용자가 작업을 수행할 수 있도록 보장합니다. 요청 매개변수에 고유한 토큰 매개변수를 추가하고 작업이 호출될 때 이를 확인하여 보호합니다.
토큰 매개변수는 특정 작업과 특정 사용자만 사용할 수 있는 키로 생성되어야 합니다. 요청된 작업을 수행하기 전에 토큰이 유효하고 사용자를 위해 생성한 토큰과 일치하는지 확인해야 합니다. 토큰이 일치하면 작업을 수행할 수 있으며 이후 요청에 대해 토큰이 무효화됩니다.
액세스 토큰은 HttpActionHandler의 url 속성의 일부로 사용자에게 전송해야 합니다. 예를 들어 애플리케이션이 http://www.example.com/approve?requestId=123에서 승인 요청을 처리하는 경우 애플리케이션에 추가 accessToken 매개변수를 포함하고 http://www.example.com/approve?requestId=123&accessToken=xyz로 전송된 요청을 리슨해야 합니다.
requestId=123 및 accessToken=xyz 조합은 미리 생성해야 하므로 accessToken에서 requestId에서 추론할 수 없습니다. requestId=123만 있고 accessToken이 없거나 xyz가 accessToken가 아닌 승인 요청은 모두 거부해야 합니다. 이 요청이 통과되면 향후 동일한 ID와 액세스 토큰을 사용하는 요청이 모두 거부됩니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["필요한 정보가 없음","missingTheInformationINeed","thumb-down"],["너무 복잡함/단계 수가 너무 많음","tooComplicatedTooManySteps","thumb-down"],["오래됨","outOfDate","thumb-down"],["번역 문제","translationIssue","thumb-down"],["샘플/코드 문제","samplesCodeIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2024-09-03(UTC)"],[[["Limited-Use Access Tokens enhance security by mitigating request spoofing and replay attacks, ensuring actions are performed by the intended user."],["These tokens function as unique keys, valid for a specific action and user, verified before the action is executed and invalidated afterward."],["Access tokens are transmitted via the `url` property of the `HttpActionHandler`, requiring developers to include an `accessToken` parameter for verification."],["To ensure security, a unique combination of `requestId` and `accessToken` should be pre-generated, with any request lacking the correct token being rejected."],["Upon successful execution of a request with a valid token, subsequent requests using the same token should be denied to prevent replay attacks."]]],["The core concept is using Limited-Use Access Tokens to secure user actions. A unique token, tied to a specific action and user, is added to request parameters (e.g., in a URL). Before an action executes, the system verifies the token's validity and user association. Valid tokens are then invalidated to prevent reuse. The system should generate the access token, ensuring it's unpredictable from the request ID and reject requests with missing or invalid tokens.\n"]]
