HttpOnly — недоступна из JavaScript (кража при XSS), Secure — только по HTTPS (перехват), SameSite (Lax/Strict) — не уходит с межсайтовыми запросами (CSRF). Флага Encrypted не существует.
А ещё Префикс __Host- требует Secure и запрещает Domain
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Три флага закрывают три разных вектора, и путать их не стоит. HttpOnly не предотвращает XSS, но лишает атакующего возможности украсть идентификатор сессии скриптом. Secure не даёт браузеру отправить cookie по незашифрованному каналу. SameSite в значении Lax (умолчание в современных браузерах) или Strict мешает браузеру прикладывать cookie к запросам с чужих сайтов — именно на автоматической отправке cookie и построен CSRF. Значение None требует обязательного Secure. Полезно помнить и общее следствие: раз браузер добавляет cookie сам, сессионная модель уязвима к CSRF, а токен в заголовке Authorization — нет, но зато доступен при XSS.
Несколько верных вариантов. Подумайте, потом откройте ответ.
Семантика HTTP-методов и кэширование, cookies и их флаги безопасности, stateful против stateless сессий, HTTPS и граница authn/authz.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto