AJAX风格的应用程序中的XSRF保护

我们目前正在开发一个完全基于AJAX的应用程序,它将通过RESTful API与服务器进行交互.我已经考虑过防范针对API的XSRF攻击的潜在方案.

用户验证并接收会话cookie,每次请求也会双重提交.

我们在Javascript中实现OAuth使用者,在用户登录时检索令牌,并使用该令牌签署所有请求.

我倾向于OAuth方法,主要是因为我想提供第三方访问我们的API,而不是必须实现两种身份验证方案.

有没有理由说OAuth消费者在这种情况下无法工作？