Sicherheit von Webanwendungen · Middle · Frage 27 von 75
Eine API akzeptiert nur Content-Type: application/json. Warum erschwert das klassisches CSRF?
- 1Weil JSON in Browsern gar nicht über einfaches HTTP gesendet werden kann
- 2Formulare können diesen Typ nicht senden, und
fetchdamit braucht einen Preflight - 3Weil Browser an JSON-Anfragen nie Cookies hängen
Antwort zeigen
Richtige Antwort: Formulare können diesen Typ nicht senden, und fetch damit braucht einen Preflight
Erklärung
Das gilt nur, wenn der Server andere Content Types wirklich ablehnt. Manche Frameworks parsen Formular-Bodies trotzdem als JSON, was die Lücke wieder öffnet.