Веб-безпека · Middle · Запитання 29 з 75
Застосунок автентифікує виклики API заголовком Authorization: Bearer із токеном у пам'яті, а не cookies. Чи актуальний CSRF?
- ✓Правильна відповідь: Значно менше: браузер не додає заголовок автоматично, тож інший сайт не може його надіслати
- 2Так, навіть більше, ніж із cookies
- 3Так, бо bearer-токени надсилаються з кожним запитом зображення
Пояснення
CSRF потребує автоматичних облікових даних. Ціна - токен доступний JavaScript, тож більшим ризиком стає XSS.