توفِّر رموز الدخول المحدودة الاستخدام حماية من الطلبات من الانتحال وإعادة تشغيل الهجمات، ما يضمن تنفيذ الإجراء الذي أرسله المستخدم. ويتم تحقيق الحماية عن طريق إضافة معلمة رمز مميز فريدة إلى معلمات الطلب والتحقق منها عند استدعاء الإجراء.
يجب إنشاء معلمة الرمز المميّز كمفتاح لا يمكن استخدامه إلا لإجراء معيّن ولمستخدم محدّد فقط. قبل تنفيذ الإجراء المطلوب، يجب أن تتحقق من صلاحية الرمز المميز وأنه يطابق الرمز الذي أنشأته للمستخدم. وفي حال تطابق الرمز المميّز، يمكن تنفيذ الإجراء ويصبح الرمز المميّز غير صالح للطلبات المستقبلية.
يجب إرسال رموز الدخول إلى المستخدم كجزء من السمة url في HttpActionHandler. على سبيل المثال، إذا كان طلبك يعالج طلبات الموافقة على الرقم http://www.example.com/approve?requestId=123، ننصحك بتضمين معلَمة accessToken إضافية إليه والاستماع إلى الطلبات المرسَلة إلى http://www.example.com/approve?requestId=123&accessToken=xyz.
عليك الجمع بين requestId=123 وaccessToken=xyz مسبقًا للتأكد من أنّه لا يمكن استنتاج accessToken من requestId. يجب رفض أي طلب موافقة يتضمّن requestId=123 وليس accessToken أو يتضمّن accessToken لا يساوي xyz. وبعد الموافقة على هذا الطلب، يجب رفض أي طلب في المستقبل يحمل المعرّف نفسه ورمز الدخول نفسه.