Выбор ответа Middle Spring Security обновлено
Когда можно выключить CSRF
Вопрос
В каком случае выключение CSRF-защиты безопасно?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Stateless API с токеном только в заголовке Authorization. CSRF эксплуатирует то, что браузер сам прикладывает cookie к запросам на ваш домен.
Варианты ответа
- Stateless API с токеном только в заголовке Authorizationправильный ответ
- Когда сессия хранится в cookie, но весь трафик идёт только по HTTPS
- Когда фронтенд написан на React и шлёт fetch
- Когда включён CORS только для своего домена
Разбор
CSRF эксплуатирует то, что браузер сам прикладывает cookie к запросам на ваш домен. Заголовок Authorization браузер сам не подставляет, поэтому для API с Bearer-токенами CSRF неактуален. При cookie-сессии CSRF нужен независимо от HTTPS и фреймворка фронтенда. CORS ограничивает чтение ответов, но не отправку простых запросов, и не защищает от CSRF.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.