Сопоставление Middle CSRF, SameSite и CORS обновлено
Заголовок и его роль
Вопрос
Сопоставьте механизм и его роль.
Попробуйте сами
Нажмите слева, потом подходящее справа.
Показать ответ и разбор
Коротко
Только SameSite, токен и проверка Fetch Metadata или Origin защищают от CSRF. CORS про чтение ответов, HttpOnly про кражу cookie через XSS.
Правильные пары
SameSite=LaxНе прикладывать cookie к межсайтовым POST и фоновым запросамAccess-Control-Allow-OriginРазрешить скрипту с другого origin прочитать ответSec-Fetch-Site: cross-siteСообщает серверу, что запрос пришёл с другого сайтаX-CSRF-TokenПередаёт секрет, который знает только своя страницаHttpOnlyСкрывает cookie от JavaScriptРазбор
Только SameSite, токен и проверка Fetch Metadata или Origin защищают от CSRF. CORS про чтение ответов, HttpOnly про кражу cookie через XSS.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.