Token con accesso limitato
I token di accesso a uso limitato forniscono protezione dagli spoofing delle richieste e dagli attacchi di riproduzione, garantendo che l'azione venga eseguita dall'utente a cui è stato inviato il messaggio. La protezione si ottiene aggiungendo un parametro token univoco ai parametri della richiesta e verificandolo quando viene richiamata l'azione.
Il parametro token deve essere generato come chiave che può essere utilizzata solo per una determinata azione e un utente specifico. Prima che venga eseguita l'azione richiesta, devi verificare che il token sia valido e che corrisponda a quello generato per l'utente. Se il token corrisponde, è possibile eseguire l'azione e il token non è più valido per le richieste future.
I token di accesso devono essere inviati all'utente come parte della proprietà url di HttpActionHandler. Ad esempio, se la tua applicazione gestisce le richieste di approvazione a http://www.example.com/approve?requestId=123, dovresti includere un parametro accessToken aggiuntivo e ascoltare le richieste inviate a http://www.example.com/approve?requestId=123&accessToken=xyz.
La combinazione requestId=123 e accessToken=xyz deve essere generata in anticipo, assicurandoti che non sia possibile dedurre accessToken da requestId. Qualsiasi richiesta di approvazione con requestId=123 e senza accessToken o con accessToken non uguale a xyz deve essere rifiutata. Quando questa richiesta sarà soddisfatta, ogni richiesta futura con lo stesso ID e token di accesso dovrà essere rifiutata.
Salvo quando diversamente specificato, i contenuti di questa pagina sono concessi in base alla licenza Creative Commons Attribution 4.0, mentre gli esempi di codice sono concessi in base alla licenza Apache 2.0. Per ulteriori dettagli, consulta le norme del sito di Google Developers. Java è un marchio registrato di Oracle e/o delle sue consociate.
Ultimo aggiornamento 2024-09-03 UTC.
[null,null,["Ultimo aggiornamento 2024-09-03 UTC."],[[["Limited-Use Access Tokens enhance security by mitigating request spoofing and replay attacks, ensuring actions are performed by the intended user."],["These tokens function as unique keys, valid for a specific action and user, verified before the action is executed and invalidated afterward."],["Access tokens are transmitted via the `url` property of the `HttpActionHandler`, requiring developers to include an `accessToken` parameter for verification."],["To ensure security, a unique combination of `requestId` and `accessToken` should be pre-generated, with any request lacking the correct token being rejected."],["Upon successful execution of a request with a valid token, subsequent requests using the same token should be denied to prevent replay attacks."]]],["The core concept is using Limited-Use Access Tokens to secure user actions. A unique token, tied to a specific action and user, is added to request parameters (e.g., in a URL). Before an action executes, the system verifies the token's validity and user association. Valid tokens are then invalidated to prevent reuse. The system should generate the access token, ensuring it's unpredictable from the request ID and reject requests with missing or invalid tokens.\n"]]
