小编nat*_*ate的帖子

我在facebook messenger平台上开发聊天机器人.我浏览了Facebook文档,无法找到如何保护我webhook的随机通话.

例如,如果用户可以使用我的机器人购买东西,那么知道某人的userId的攻击者可以通过拨打我的webhook来开始放置未经授权的订单.

我有几个关于如何保护这个的想法.

1)将我的api白名单只用于来自facebook的电话.
2)使用回发调用创建类似CSRF令牌的东西.

有任何想法吗？