Выбор ответа Middle Тестирование веба обновлено
Флаг HttpOnly у куки
Вопрос
Что даёт флаг HttpOnly у куки с идентификатором сессии?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Скрипт не прочитает её через document.cookie, меньше вред от XSS. HttpOnly прячет куку от скриптов, поэтому внедрённый скрипт не украдёт сессию напрямую.
Варианты ответа
- Кука передаётся по HTTPS и не уходит по обычному HTTP
- Кука не отправляется на другие сайты в кросс-сайтовых запросах
- Кука удаляется при закрытии вкладки, даже с
Max-Age - Скрипт не прочитает её через
document.cookie, меньше вред от XSSправильный ответ
Разбор
HttpOnly прячет куку от скриптов, поэтому внедрённый скрипт не украдёт сессию напрямую. Передачу только по HTTPS обеспечивает флаг Secure. Отправку при запросах с других сайтов ограничивает SameSite. Удаление при закрытии браузера бывает у сессионной куки без Expires и Max-Age. Тестировщик может проверить флаги во вкладке Application в DevTools.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.