Веб-безпека · Middle · Запитання 33 з 75
Чому Access-Control-Allow-Origin: null ніколи не можна дозволяти з credentials?
- 1Бо
nullозначає, що запит прийшов із того самого сервера - 2Бо
nullвимикає CORS - ✓Правильна відповідь: Iframe із sandbox і адреси
data:надсилаютьOrigin: null, тож зловмисник легко його отримає
Пояснення
Довіру до null для локальної розробки часто забувають прибрати в продакшні, і тоді будь-яка сторінка з iframe у sandbox може читати ваші дані.