Estoy tratando de hacer que una aplicación iOS se comunique con un sitio web de Ruby on Rails usando JSON. Al intentar publicar un inicio de sesión para crear una sesión de usuario, descubrí que faltaba un token CSRF. No tenía ni idea de qué era eso, así que empecé a buscarlo y encontré algunas soluciones que dicen eliminar la protección CSRF si el formato de la llamada es 'application / json'. ¿Pero eso suena así que deja al sitio web vulnerable?
Surgieron algunos resultados acerca de los formularios JS que tenían el mismo problema. Las respuestas fueron para agregar en el token CSRF. La cual, luego de la inspección, también parece estar en la etiqueta de contenido meta en los encabezados de página.
Así que esto me deja en confusión, aquí están mis preguntas:
- ¿Cómo ayuda el token a proteger algo si puede leerse en una llamada anterior a la llamada atacante? ¿Puede un sitio malintencionado no simplemente realizar una solicitud, analizar el mensaje recibido y enviar otra solicitud con el token?
- ¿Sería seguro deshabilitar la comprobación de token en la acción de inicio de sesión de inicio de sesión y enviarla de vuelta junto con la respuesta correcta? Si no, ¿alguna sugerencia mejor?