Выбор ответа Middle CSRF, SameSite и CORS спрашивают часто обновлено
SameSite=Lax
Вопрос
Cookie с SameSite=Lax. Пользователь на evil.com отправляет POST-форму на bank.ru. Что произойдёт с cookie?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Не будет: Lax шлёт её межсайтово только при навигации безопасным методом. Lax пропускает cookie при переходе по ссылке (GET), но не при межсайтовом POST, iframe или fetch.
Варианты ответа
- Cookie будет приложена: Lax ограничивает межсайтовые GET-запросы, а не POST
- Cookie будет приложена, если форма отправлена со страницы по HTTPS
- Не будет: Lax шлёт её межсайтово только при навигации безопасным методомправильный ответ
- Браузер заблокирует отправку формы целиком и покажет предупреждение
Разбор
Lax пропускает cookie при переходе по ссылке (GET), но не при межсайтовом POST, iframe или fetch. Схема HTTPS не меняет правило. Форма отправится, но без cookie, и сервер увидит неаутентифицированный запрос.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.