Deutsch
Menü

Grundlagen der Webtechnologien

Set-Cookie: sid=8f3a2c9d; Path=/; Secure; HttpOnly; SameSite=Lax

Welche Aussage über das durch den obigen Header gesetzte Cookie ist richtig?

  1. AWegen des Attributs Secure wird der Wert des Cookies im Browser verschlüsselt gespeichert und kann von anderen Anwendungen nicht gelesen werden
  2. BWegen des Attributs HttpOnly kann das JavaScript der Seite dieses Cookie nicht lesen
  3. CWegen SameSite=Lax wird dieses Cookie nicht einmal an Anfragen angehängt, die von Seiten derselben Website gesendet werden
Antwort und Erläuterung anzeigen

Antwort: B. Wegen des Attributs HttpOnly kann das JavaScript der Seite dieses Cookie nicht lesen

Ein Cookie mit dem Attribut Secure wird nur bei HTTPS-Verbindungen gesendet. Mit dem Attribut HttpOnly kann das JavaScript der Seite es nicht mehr über document.cookie und Ähnliches lesen; das verringert den Schaden, wenn sonst eine Sitzungs-ID über XSS gestohlen würde. Das Attribut SameSite legt fest, ob das Cookie an Anfragen angehängt wird, die von anderen Websites ausgehen; bei Lax wird es bei einem GET angehängt, mit dem man über einen Link einer anderen Website zur Seite wechselt, nicht aber bei Formular-POSTs von anderen Websites oder beim Laden von Bildern. Ein Cookie ohne Ablaufzeit über Expires oder Max-Age wird im Allgemeinen zu einem Sitzungscookie, das beim Schließen des Browsers gelöscht wird.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Grundlagen der Webtechnologien

  1. Welche Aussage über einen Unterschied zwischen localStorage im Browser und Cookies ist richtig?
  2. Hinter einem Load Balancer stehen drei Anwendungsserver, auf die die Anfragen der Reihe nach verteilt werden (Round Robin). Die Sitzungsinformationen eines angemeldeten Nutzers werden nur im Arbeitsspeicher des Servers abgelegt, der die Anmeldung bearbeitet hat. Welche Kombination aus wahrscheinlichem Problem und Gegenmaßnahme ist angemessen?
  3. Welche Aussage über ein typisches signiertes JWT (JSON Web Token) ist richtig?
  4. Eine Fotodruck-App liest mit Erlaubnis des Nutzers dessen Fotos aus dem Fotospeicherdienst eines anderen Unternehmens. Welche Rolle zeigt bei OAuth (Version 2.0) dem Nutzer einen Bildschirm an, der um seine Erlaubnis bittet, und stellt der App ein Access-Token aus, wenn der Nutzer zustimmt?
  5. Welche Aussage über die Beziehung zwischen OAuth (Version 2.0) und OpenID Connect ist richtig?