Zugriffstokens mit begrenzter Verwendung bieten Schutz vor Anfrage-Spoofing und Replay-Angriffen. So wird sichergestellt, dass die Aktion vom Nutzer ausgeführt wird, an den die Nachricht gesendet wurde. Die Schutzmaßnahme wird erreicht, wenn den Anfrageparametern ein eindeutiger Tokenparameter hinzugefügt wird und dieser beim Aufrufen der Aktion überprüft wird.
Der Tokenparameter sollte als Schlüssel generiert werden, der nur für eine bestimmte Aktion und einen bestimmten Nutzer verwendet werden kann. Bevor die angeforderte Aktion ausgeführt wird, sollten Sie prüfen, ob das Token gültig ist und mit dem Token übereinstimmt, das Sie für den Nutzer generiert haben. Wenn das Token übereinstimmt, kann die Aktion ausgeführt werden und das Token wird für zukünftige Anfragen ungültig.
Zugriffstoken sollten als Teil der url-Eigenschaft von HttpActionHandler an den Nutzer gesendet werden. Wenn Ihre Anwendung beispielsweise Genehmigungsanfragen bei http://www.example.com/approve?requestId=123 verarbeitet, sollten Sie einen zusätzlichen accessToken-Parameter hinzufügen und auf http://www.example.com/approve?requestId=123&accessToken=xyz gesendete Anfragen überwachen.
Sie müssen die Kombination requestId=123 und accessToken=xyz im Voraus generieren. Achten Sie dabei darauf, dass accessToken nicht aus der requestId abgeleitet werden kann. Jede Genehmigungsanfrage mit requestId=123 und ohne accessToken oder mit einer accessToken, die nicht xyz ist, sollte abgelehnt werden. Sobald diese Anfrage verarbeitet wurde, sollten alle zukünftigen Anfragen mit derselben ID und diesem Zugriffstoken abgelehnt werden.