Нужна ли защита от CSRF в API?

Question

[jenya7771]

Здравствуйте, я делаю API на nodeJs с использованием плагина restify, для авторизации использую JWT. И у меня возник вопрос нужна ли защищаться от такой атаки в API?

Answer 1

[Илья Герасимов]

Нет, выданный jwt токен уже выполняет эту функцию

Comments

[jenya7771]

Он длительное время одинаковый, вариант того что его украдут и подставят в ответ может быть?

[Илья Герасимов]

jenya7771, может, но тут реально простого выхода нет, но как минимум гоняем токен по ssl, привязываем к устройству (если это подходит нашему проекту), привязываем токен к адресу (опять же, если это нам подходит).

Answer 2

[Boris Köln]

Нет.
CSRF, как следует из названия Сross Site Request Forgery, нужен только для проверки доступа с сайта (из браузера) и защиты от ботов.
API, как следует из названия Application Programming Interface, наоборот, предназначен для ботов.

Comments

[Руслан Самолетов]

Что? Апи для ботов? У меня SPA приложение, все запросы от фронта к бекенду по апишке происходят по инициативе людей.

Answer 3

[Алексей Guest007]

Для контроля источников доступа в таком случае используют CORS