Выбор ответа Senior CSRF, SameSite и CORS обновлено
Отражение Origin в CORS
Вопрос
Сервер отвечает Access-Control-Allow-Origin равным любому присланному Origin и Access-Control-Allow-Credentials: true. Чем это опасно?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Любой сайт сделает запрос с cookie пользователя и прочитает ответ. Связка отражённого origin и credentials фактически отключает same-origin policy для вашего API.
Варианты ответа
- Ничем: при отражённом Origin браузер всё равно не отправит cookie
- Любой сайт сделает запрос с cookie пользователя и прочитает ответправильный ответ
- Тем, что на каждый запрос придёт лишний preflight и вырастет нагрузка
- Это стандартная безопасная настройка для публичного API с авторизацией
Разбор
Связка отражённого origin и credentials фактически отключает same-origin policy для вашего API. Страница атакующего прочитает ответы с данными жертвы. Origin нужно сверять с точным allowlist.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.