Хранение файлов cookie и «CSRF» «Запомнить меня»

Question

Я читал, что куки «помни меня» хранятся в куки «httpOnly», поэтому они недоступны JavaScript/XSS. Однако cookie «httpOnly» уязвим для атак CSRF, потому что они отправляются с запросом автоматически.

Чтобы смягчить атаку CSRF, рекомендуется использовать шаблон синхронизированных токенов (чтобы сервер генерировал токены csrf и перекрестный контроль с клиентом).

Мой вопрос в том, доступен ли cookie «помнить меня», возможно ли сделать CSRF-атаку (вредоносный JavaScript), чтобы сделать запрос, а затем получить токен csrf, сгенерированный с сервера? Проблема состоит в том, что если атака имеет cookie, а также токен для отправки с запросами, тогда безопасность приложения была скомпрометирована. Если это действительно возможно, как мы можем предотвратить это?

Answer 1

Нет, токен не может быть прочитан другим доменом из-за Same Origin Policy.

Если запрос сделан на стороне сервера, чтобы обойти SOP, то сервер не получает токен из контекста просмотра жертвы, поэтому он не может атаковать зарегистрированного пользователя (сервер может атаковать только своего пользователя, используется для получения маркера).

Поэтому не о чем беспокоиться (пока вы не включили CORS, конечно).