Sto giocando intorno con lo sviluppo di una chatbot su piattaforma Facebook Messenger. Sono andato attraverso il documento Facebook e non sono riuscito a trovare il modo di proteggere la mia webhookdalle chiamate casuali.
Ad esempio, se gli utenti possono acquistare stoffe con i miei bot, un attaccante che conosce userId di qualcuno in grado di iniziare a posizionare gli ordini non autorizzate effettuando chiamate al mio webhook.
Ho diverse idee su come proteggere questo.
1) whitelist mia API per chiamate solo da facebook.
2) creare qualcosa di simile CSRF token con le chiamate di postback.
Qualche idea?
