Проєктування API · Middle · Запитання 68 з 75

Браузерний SPA автентифікується до свого API через cookies. Який додатковий захист потрібен порівняно з bearer-токенами?

1Нічого додаткового
✓Правильна відповідь: Захист від CSRF: cookies з SameSite плюс CSRF-токен чи перевірка Origin для запитів, що змінюють стан
3Шифрування кожного JSON-поля

Пояснення

Браузери автоматично додають cookies, навіть до запитів, ініційованих іншими сайтами. Bearer-токени в заголовках автоматично не надсилаються.

Де почитати

Перевірте себе

Пройдіть тест Проєктування API · Middle: запитання й варіанти перемішуються, а наприкінці - розбір помилок.

Пройти цей тест