Token akses penggunaan terbatas melindungi dari serangan spoofing permintaan dan replay serangan, sehingga memastikan bahwa tindakan dilakukan oleh penerima yang dituju. Anda dapat melindungi dari serangan ini dengan menambahkan parameter token unik ke parameter permintaan dan memverifikasinya saat tindakan dipanggil.
Buat parameter token sebagai kunci yang hanya dapat digunakan untuk tindakan tertentu dan pengguna tertentu. Sebelum melakukan tindakan yang diminta, pastikan token valid dan cocok dengan token yang dibuat untuk pengguna. Jika token cocok, lakukan tindakan dan batalkan token untuk permintaan mendatang.
Kirim token akses ke pengguna sebagai bagian dari properti url dari
HttpActionHandler.
Misalnya, jika aplikasi Anda menangani permintaan persetujuan di
http://www.example.com/approve?requestId=123, pertimbangkan untuk menambahkan parameter
accessToken dan menangani permintaan yang dikirim ke
http://www.example.com/approve?requestId=123&accessToken=xyz.
Kombinasi requestId=123 dan accessToken=xyz harus dibuat terlebih dahulu; pastikan accessToken tidak dapat disimpulkan dari requestId.
Tolak permintaan persetujuan apa pun dengan requestId=123 dan tanpa accessToken atau dengan accessToken yang tidak sama dengan xyz. Setelah permintaan ini berhasil, tolak permintaan mendatang dengan ID dan token akses yang sama.