Выбор ответа Junior Заголовки и cookies спрашивают часто обновлено
Флаг HttpOnly у cookie
Вопрос
Что даёт флаг HttpOnly у cookie с id сессии?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Скрипт на странице не прочитает cookie через document.cookie. HttpOnly прячет cookie от скриптов, поэтому внедрённый XSS-скрипт не украдёт сессию напрямую.
Варианты ответа
- Cookie передаётся по HTTP, а при переходе на HTTPS сбрасывается браузером
- Скрипт на странице не прочитает cookie через
document.cookieправильный ответ - Cookie не отправляется на другие домены и в кросс-сайтовых запросах с чужих форм
- Cookie удаляется при закрытии вкладки, даже если у неё задан
Max-Age
Разбор
HttpOnly прячет cookie от скриптов, поэтому внедрённый XSS-скрипт не украдёт сессию напрямую. Передачу только по HTTPS обеспечивает Secure. Отправку в кросс-сайтовых запросах ограничивает SameSite. Время жизни задают Expires или Max-Age; без них cookie сессионная.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.