Веб-безпека · Middle · Запитання 27 з 75
API приймає лише Content-Type: application/json. Чому це ускладнює класичний CSRF?
- 1Бо JSON не можна надсилати через HTTP
- ✓Правильна відповідь: HTML-форми не можуть надіслати такий тип, а міжсайтовому
fetchіз ним потрібен preflight CORS - 3Бо браузери ніколи не додають cookies до JSON-запитів
Пояснення
Це правда, лише якщо сервер справді відхиляє інші типи. Деякі фреймворки однаково розбирають тіло форми як JSON, і діра відкривається знову.