Веб-безпека · Junior · Запитання 43 з 75
Чому сервер не може відповідати Access-Control-Allow-Origin: * разом з Access-Control-Allow-Credentials: true?
- ✓Правильна відповідь: Браузери забороняють таке поєднання, бо тоді будь-який сайт міг би читати відповіді, отримані з cookies користувача
- 2Бо
*працює лише для зображень - 3Бо облікові дані можна надсилати лише з
GET
Пояснення
З обліковими даними сервер мусить назвати точний дозволений origin. Він має звіряти Origin зі списком дозволених, а не просто віддзеркалювати його.