OWASP安全指南用于保护REST API免受点击劫持攻击，它们准确吗？

Question

OWASP安全指南用于保护REST API免受点击劫持攻击，它们准确吗？

3

我们有一个基于Java的RestAPI Web应用程序，我正在尝试进行渗透测试，并查阅了OWASP RestAPI安全表。

https://www.owasp.org/index.php/REST_Security_Cheat_Sheet#Security_headers

根据OWASP的建议，“此外，客户端应发送X-Frame-Options：deny以保护较旧的浏览器免受拖放点击劫持攻击。”然而，我所知，通常是服务器发送此x-frame-options，而不是客户端，这是OWASP的笔误吗？另外，对于REST API请求，点击劫持如何被利用，因为REST API调用在浏览器中不可见！

- Tom

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- HamZa · Accepted Answer

OWASP指南是社区努力的结果。显然，该声明是在2012年左右引入的，请参见以下修订版。这很可能是一个打字错误，因为服务器应该发送X-Frame-Options标头，而不是浏览器。

在传统的REST API中，从技术上讲，没有办法执行点击劫持。一个非常牵强的想法可能是，如果您提供了一个HATEOAS API并以HTML格式输出它。

我会建议您继续关注其他安全方面，如身份验证、授权和敏感数据泄漏。尝试也要考虑指南之外的事情。我曾经发现过一个API，它还以base64格式返回用户密码，这并不聪明...