توکنهای دسترسی با کاربرد محدود، از حملات جعل درخواست و بازپخش جلوگیری میکنند و تضمین میکنند که عمل توسط گیرنده مورد نظر انجام میشود. شما با اضافه کردن یک پارامتر توکن منحصر به فرد به پارامترهای درخواست و تأیید آن هنگام فراخوانی عمل، در برابر این حملات محافظت میکنید.
پارامتر توکن را به عنوان کلیدی تولید کنید که فقط برای یک اقدام خاص و یک کاربر خاص قابل استفاده باشد. قبل از انجام اقدام درخواستی، تأیید کنید که توکن معتبر است و با توکن تولید شده برای کاربر مطابقت دارد. اگر توکن مطابقت داشت، اقدام را انجام دهید و توکن را برای درخواستهای آینده نامعتبر کنید.
توکنهای دسترسی را به عنوان بخشی از ویژگی url مربوط به HttpActionHandler به کاربر ارسال کنید. برای مثال، اگر برنامه شما درخواستهای تأیید را در http://www.example.com/approve?requestId=123 مدیریت میکند، اضافه کردن پارامتر accessToken و مدیریت درخواستهای ارسالی به http://www.example.com/approve?requestId=123&accessToken=xyz را در نظر بگیرید.
ترکیب requestId=123 و accessToken=xyz باید از قبل ایجاد شود؛ اطمینان حاصل کنید که accessToken نمیتوان از requestId استنباط کرد. هرگونه درخواست تأیید با requestId=123 و بدون accessToken یا با accessToken غیر برابر با xyz را رد کنید. پس از موفقیت این درخواست، هر درخواست بعدی با همان شناسه و access token را رد کنید.