Bezpieczeństwo aplikacji webowych · Middle · Pytanie 29 z 75
Aplikacja uwierzytelnia wywołania API nagłówkiem Authorization: Bearer z tokenem w pamięci, a nie ciasteczkami. Czy CSRF jest problemem?
- ✓Poprawna odpowiedź: Znacznie mniejszym: przeglądarka nie dołącza nagłówka automatycznie, więc inna strona nie może go wysłać
- 2Tak, nawet większym niż przy ciasteczkach
- 3Tak, bo tokeny bearer są wysyłane z każdym żądaniem obrazu
Wyjaśnienie
CSRF wymaga automatycznie dołączanych poświadczeń. Ceną jest to, że token jest dostępny dla JavaScriptu, więc większym ryzykiem staje się XSS.