Bawię się wokół z rozwojem chatbot na platformie facebook messenger. Przeszedłem dokumentu Facebooku i nie mogła znaleźć sposobu, aby chronić swoje webhookod przypadkowych połączeń.
Na przykład, jeśli użytkownicy mogą kupować pasz z moich botów, atakujący, który wie czyjąś userid może rozpocząć wprowadzanie nieautoryzowanych zamówień przez wykonywanie połączeń do mojego webhook.
Mam kilka pomysłów na to, jak chronić.
1) białej listy moje API wywołuje tylko z facebook.
2) Utwórz coś CSRF żetony z połączeniami odświeżenie strony.
Jakieś pomysły?
