iOS/Andrid PHPかRailsで認証 apiを作るにあったてのリクエストのCSRF検証

Question

現在iOS/Android用の認証apiをPHP/Ruby(Rails）で開発しております。

認証apiとはEmailもしくは、usernameとpasswordでログイン出来る認証apiのことです。

そこで、iOS/AndroidアプリからPHPもしくはRailsへPOSTする際
クライアント側からCSRF対策用トークンをサーバーに、もう半券をスマホ側に保存して通信時に認証・再発行しようと考えているのですが、
ただ半券を渡す方法がわからず困っております。

何か解決策・アドバイスいただけますでしょうか？

Answer 1

私が普段している実装であれば、htmlのメタタグに半券を埋め込むような実装をしています。

<meta name="csrf-token" content="csrftokenforsecurity">

このようなメタタグを用意し、このメタタグからjsでトークンを読み取り、サーバーにデータを送信する際にデータを付加する形です。