Bezpieczeństwo aplikacji webowych · Senior · Pytanie 30 z 75
Tokeny tylko w pamięci SPA czy ciasteczka HttpOnly: jaki jest główny kompromis?
- 1Pamięć jest zawsze bezpieczna, ciasteczka zawsze niebezpieczne
- ✓Poprawna odpowiedź: W pamięci XSS i tak może użyć lub ukraść tokeny, ale nie ma CSRF; ciasteczka ukrywają token, ale wymagają ochrony przed CSRF
- 3Nie ma różnicy
Wyjaśnienie
Żadna opcja w pełni nie wytrzymuje XSS: atakujący i tak działa na stronie. Prawdziwa różnica to to, czy token można zabrać i użyć gdzie indziej.