Выбор ответа Senior Spring Security обновлено
Session fixation
Вопрос
Что делает Spring Security по умолчанию при успешном входе пользователя с сессией, чтобы защититься от session fixation?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Меняет id сессии, сохраняя атрибуты. При session fixation злоумышленник подсовывает жертве известный ему id сессии и ждёт входа.
Варианты ответа
- Ничего: защита включается вручную
- Меняет id сессии, сохраняя атрибутыправильный ответ
- Удаляет все cookie пользователя
- Выдаёт JWT вместо cookie сессии
Разбор
При session fixation злоумышленник подсовывает жертве известный ему id сессии и ждёт входа. Spring Security после аутентификации по умолчанию меняет id сессии через HttpServletRequest.changeSessionId(), старый id становится бесполезным. Cookie не удаляются, на JWT система не переключается.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.