Веб-безпека · Middle · Запитання 25 з 75
Як перевірка заголовка Origin допомагає проти CSRF?
- 1Бо заголовок
Originмістить пароль користувача - ✓Правильна відповідь: Браузери ставлять його на міжсайтові POST, тож сервер може відхиляти запити, що змінюють стан, з невідомих origin
- 3Бо зловмисники не можуть надсилати запити без cookies
Пояснення
JavaScript у браузері не може підробити Origin. Обережно обробляйте відсутній заголовок і поєднуйте перевірку з cookies SameSite чи токенами.