保护苗条的3，RESTful API

Question

我知道如何实现基于令牌的身份验证。 但我担心的是针对攻击机器人的用户操作，例如注册，登录或验证。 我可以想象一个机器人通过伪造的电话号码发出请求，而我的SMS或邮件服务器将全部响应！ 或成千上万的注册用户位于数据库的用户表中，这些用户是伪造的且未经验证。 我知道一些防火墙策略可以阻止网络层中的此类攻击和流量。 但是可以用验证码或其他方法来保护“未经身份验证”的HTTP操作吗？

如果是，如何将验证码图像从API服务器发送到客户端？ 在RAW中？ 如果可以发送验证码，那么如何找到哪个客户端的验证码？ 会议有帮助吗？

感谢您的关注。

Answer 1

您可以实施某种形式的CSRF（跨站点请求伪造）陷阱来避免这种情况。 我结合使用CSRF和honeypot字段。 这是基本的概要：

1. 服务器通过一个隐藏类型的输入标签填充一个字段，该标签包含一个动态设置的值并作为会话变量存储在服务器上。
2. 该表单还包含一个使用CSS隐藏的文本字段（type =“ text”或textarea）。
3. 发布表单后，隐藏值（CSRF）令牌必须与保存的会话版本匹配，并且
4. honeypot字段必须为空。

如果测试失败，我会回复401或404

Reg僵尸程序通常会填充蜜罐字段，其中一些很聪明，可以规避CSRF-我记录所有未通过这些测试的尝试，并捕获了很多僵尸程序尝试。