Παίζω γύρω με την ανάπτυξη ενός chatbot στην πλατφόρμα του Facebook Messenger. Πήγα μέσα από το έγγραφο του Facebook και δεν μπορούσε να βρει τον τρόπο για την προστασία μου webhookαπό τυχαία κλήσεις.
Για παράδειγμα, αν οι χρήστες μπορούν να αγοράσουν τρόφιμα με bots μου, ένας εισβολέας που ξέρει userId κάποιου μπορεί να αρχίσει τη διάθεση μη εξουσιοδοτημένη παραγγελίες από την πραγματοποίηση κλήσεων σε webhook μου.
Έχω πολλές ιδέες για το πώς να προστατεύσουν αυτό.
1) Λευκή Λίστα api μου σε κλήσεις μόνο από το facebook.
2) Δημιουργία κάτι σαν CSRF τις μάρκες με τις κλήσεις postback.
Καμιά ιδέα?
