SameSite ограничивает отправку cookie в межсайтовом контексте: Strict наиболее ограничителен, Lax допускает некоторые навигации, None разрешает cross-site с Secure.
Ты упомянул SameSite у cookie — за что отвечает эта настройка?
SameSite ограничивает отправку cookie в межсайтовом контексте: Strict наиболее ограничителен, Lax допускает некоторые навигации, None разрешает cross-site с Secure.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
SameSite ограничивает отправку cookie в межсайтовом контексте: Strict наиболее ограничителен, Lax допускает некоторые навигации, None разрешает cross-site с Secure.
Lax обычно допускает переход верхнего уровня безопасным методом, но не произвольные cross-site запросы. Same-site не равен same-origin: схема и сайт учитываются иначе, чем origin с портом. Атрибут помогает против CSRF, но не заменяет всю защиту и не скрывает cookie от JavaScript — за это отвечает HttpOnly.