Bezpieczeństwo aplikacji webowych · Middle · Pytanie 27 z 75
API przyjmuje tylko Content-Type: application/json. Dlaczego to utrudnia klasyczny CSRF?
- 1Bo JSON nie może być wysyłany przez HTTP
- ✓Poprawna odpowiedź: Formularze HTML nie mogą wysłać takiego typu, a
fetchz innego originu z nim wymaga preflightu CORS - 3Bo przeglądarki nigdy nie dołączają ciasteczek do żądań JSON
Wyjaśnienie
To prawda tylko wtedy, gdy serwer naprawdę odrzuca inne typy. Niektóre frameworki i tak parsują treść formularza jako JSON, co znów otwiera lukę.