在谷歌应用引擎上运行的GWT应用程序是否受CSRF保护?

我正在开发一个在谷歌应用引擎上运行的GWT应用程序,我想知道我是否需要担心跨站点请求伪造,或者这会自动帮我解决?

对于每个需要身份验证的RPC请求,我都有以下代码:

public class BookServiceImpl extends RemoteServiceServlet implements
BookService {
    public void deleteInventory(Key<Inventory> inventoryKey) throws NotLoggedInException,  InvalidStateException, NotFoundException {
        DAO dao = new DAO();
            // This will throw NotLoggedInException if user is not logged in
        User user = dao.getCurrentUser();
            // Do deletion here
    }
}

public final class DAO extends DAOBase {
    public User getCurrentUser() throws NotLoggedInException {
            currentUser = UserServiceFactory.getUserService().getCurrentUser();
            if(currentUser == null) {
                throw new NotLoggedInException();
            }
        return currentUser;
    }

我找不到任何关于 UserService 检查身份验证。是否足够依赖上面的代码,或者是否需要更多?我是这方面的初学者,但据我了解,要避免CSRF攻击,有些策略是:

1. 在中添加身份验证令牌 请求有效负载而不是 检查cookie
2. 正在检查HTTP 引用头

我可以看到,我从谷歌上设置了Cookie和看起来像SID值的cookies,但是如果令牌被传递,我不能从有效载荷中的序列化Java对象中看出。我也不知道引用头是否被使用。

那么,我担心的是一个非问题吗?如果不是,这里最好的策略是什么?这是一个很常见的问题,必须有标准的解决方案。