質問: restセッションをアプリケーションの他の部分のセッションから分離する必要がありますか? webアプリケーションとrest api)でユーザー名とパスワードのログインを使用してアクセスを制限するリソースがあると仮定します。両方で異なるセッションを維持する必要があります。つまり、webuiを介したログインではt restおよびその逆)を介してアクセス可能なリソースへのアクセスを許可しますか?ユーザー名とパスワードの組み合わせは同じになります。afaik 1回のログインで両方へのアクセスを許可した場合でも、高度なrest認証方法( [〜#〜] hmac [〜#〜] など)を適用できます。 =、少なくともログインがrestを介して行われる場合。具体的なアプリケーションは、java eeテクニック、特にjava jsfセッションとrestセッションを意図的に分離するserverfaces)で実装されます。ただし、意図せずに 分離を簡単に克服することは可能です 。
回答: それを分離しておくか、少なくともエージェントがcookieを保持していることに基づいてrestを信頼しないでください。web uiを介して付与されたログインcookieにrestapiの安全でないhttpメソッドへのアクセスを許可することを許可すると、rest apiにcsrfに対する防御が含まれていない限り、クロスサイトリクエストフォージェリ(csrf)の脆弱性が作成されます。