Выбор ответа Junior Аутентификация спрашивают часто обновлено
Зачем флаг HttpOnly
Вопрос
От чего защищает флаг HttpOnly у куки сессии?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: От чтения куки из JavaScript при XSS: document.cookie её не вернёт. HttpOnly скрывает куку от JS, поэтому внедрённый скрипт не может её прочитать и отправить злоумышленнику.
Варианты ответа
- От передачи куки по обычному HTTP без шифрования, только по TLS
- От чтения куки из JavaScript при XSS:
document.cookieеё не вернётправильный ответ - От отправки куки вместе с запросами с чужих сайтов, то есть от CSRF
- От ручного изменения или удаления куки пользователем в DevTools
Разбор
HttpOnly скрывает куку от JS, поэтому внедрённый скрипт не может её прочитать и отправить злоумышленнику. Передачу только по HTTPS задаёт Secure. От отправки с чужих сайтов защищает SameSite. В DevTools пользователь по-прежнему видит и может менять свою куку: это его браузер.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.