Sicherheit von Webanwendungen · Junior · Frage 43 von 75
Warum darf ein Server nicht mit Access-Control-Allow-Origin: * zusammen mit Access-Control-Allow-Credentials: true antworten?
- 1Sonst könnte jede Website Antworten lesen, die mit den Cookies des Nutzers gesendet werden
- 2Weil der Wert
*nur für Bilder und andere statische Dateien funktioniert - 3Weil Zugangsdaten in Browsern nur mit
GET-Anfragen gesendet werden können
Antwort zeigen
Richtige Antwort: Sonst könnte jede Website Antworten lesen, die mit den Cookies des Nutzers gesendet werden
Erklärung
Mit Zugangsdaten muss der Server den genauen erlaubten Origin nennen. Er sollte den Origin gegen eine Allowlist prüfen und ihn nicht einfach zurückspiegeln.