Sicherheit von Webanwendungen · Middle · Frage 29 von 75
Eine App authentifiziert API-Aufrufe mit einem Header Authorization: Bearer aus dem Speicher, nicht mit Cookies. Ist CSRF ein Thema?
- 1Viel weniger: Browser hängen diesen Header nicht automatisch an
- 2Ja, sie ist sogar stärker gefährdet als mit Cookie-Sitzungen
- 3Ja, da Bearer-Tokens mit jeder Bildanfrage gesendet werden
Antwort zeigen
Richtige Antwort: Viel weniger: Browser hängen diesen Header nicht automatisch an
Erklärung
CSRF braucht automatisch mitgesendete Zugangsdaten. Der Kompromiss: das Token ist für JavaScript erreichbar, XSS wird also zum größeren Risiko.