CSRF, CORS и безопасность HTTP — бесплатный тест онлайн

Вопрос 1 из 30

Каким должен быть CSRF-токен?

session_start();
$_SESSION['csrf'] ??= bin2hex(random_bytes(32));

Детерминированным хешем user_id без серверного секрета Текущей датой с точностью до дня, чтобы токен автоматически истекал Случайным, но общим для всех пользователей до перезапуска приложения Постоянным для всего сайта, чтобы сервер мог сравнивать одно известное значение Непредсказуемым и связанным с пользовательской сессией/действием

Вопрос 2 из 30

Почему токен только в cookie не защищает?

setcookie('csrf', $token, [
    'secure' => true,
    'samesite' => 'Lax',
]);

Потому что значение cookie автоматически преобразуется в число и теряет энтропию Потому что токен в cookie нельзя получить в PHP через массив $_COOKIE Потому что POST-запросы браузера никогда не содержат cookie Потому что SameSite всегда удаляет cookie перед любым внешним переходом Браузер сам приложит cookie к поддельному запросу

Вопрос 3 из 30

Как сравнивать токены?

$sent = $_POST['csrf'] ?? null;
$stored = $_SESSION['csrf'] ?? null;
$valid = is_string($sent)
    && is_string($stored)
    && hash_equals($stored, $sent);

Сначала декодировать HTML-сущности, затем сравнить обычным strcmp Оператором == после приведения обоих значений к строке Через password_verify, используя серверный токен как хеш пароля Оператором === без проверки, что оба значения действительно строки hash_equals после проверки наличия и типа

Вопрос 4 из 30

Какие методы прежде всего защищать?

Любые методы, включая GET, но только если ответ содержит cookie Только DELETE: остальные методы считаются безопасными по стандарту Только запросы с HTML-форм, а JSON API не нуждается в такой проверке Все изменяющие состояние методы, включая POST/PUT/PATCH/DELETE Только POST, поскольку PUT, PATCH и DELETE не могут быть отправлены браузером

Вопрос 5 из 30

Что делает код неправильно?

$token=$_REQUEST['csrf']??'';
if($token==($_COOKIE['csrf']??'')) save();

Принимает токен через $_REQUEST, где он может прийти из cookie, и сравнивает нестрого Использует hash_equals, который не подходит для случайных токенов Запускает сессию до сравнения, из-за чего токен уже считается доверенным Читает тело запроса из POST, хотя токен должен быть только в заголовке Генерирует токен через random_bytes вместо UUID

Вопрос 6 из 30

Что обычно даёт SameSite=Lax?

setcookie('session', $id, [
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);

Не отправляет cookie в большинстве кросс-сайтовых подзапросов/POST, но допускает обычную верхнюю навигацию GET Разрешает cookie только для запросов с методом GET независимо от контекста Даёт JavaScript доступ к HttpOnly cookie при переходе по внешней ссылке Не отправляет cookie даже при обычной верхнеуровневой навигации по GET-ссылке Разрешает отправку cookie для любого кросс-сайтового POST, если он верхнеуровневый

Вопрос 7 из 30

Что требуется для SameSite=None в современных браузерах?

setcookie('oauth_state', $state, [
    'secure' => true,
    'httponly' => true,
    'samesite' => 'None',
]);

Secure Domain=*, разрешающий отправку cookie на любой внешний домен Отказ от HTTPS, поскольку Secure блокирует сторонний контекст Cookie без имени, чтобы браузер считал её служебной HttpOnly=false, иначе кросс-сайтовый запрос не увидит cookie

Вопрос 8 из 30

Когда Strict может мешать?

setcookie('session', $id, [
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Strict',
]);

При прямом открытии страницы из закладки без внешнего referrer При внутреннем переходе между страницами того же origin после отправки формы При запросе API из того же сайта через fetch с credentials При фоновой CLI-команде, которая не использует браузерные cookie При переходе с внешней ссылки пользователь может оказаться без сессионной cookie

Вопрос 9 из 30

Заменяет ли SameSite CSRF-токен полностью?

Да, если cookie также помечена HttpOnly и пароль достаточно длинный Только для GET: все изменяющие методы защищены самим HTTP Да, во всех современных браузерах и для любых схем взаимодействия Не во всех системах; токен остаётся явной проверкой намерения и совместимости Нет, потому что браузер вообще никогда не отправляет SameSite cookie

Вопрос 10 из 30

Как задать cookie для cross-site OAuth state?

Продумать короткий поток с Secure и подходящим SameSite, не ослабляя основную сессию без необходимости Передавать пароль пользователя внутри state, чтобы восстановить сессию после возврата Ослабить SameSite у основной сессионной cookie навсегда для всех маршрутов Хранить state только в URL без привязки к браузеру и без одноразового состояния Использовать GET-запрос самого callback для изменения пароля без дополнительной проверки

Вопрос 11 из 30

Что контролирует CORS?

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
$allowed = ['https://app.example'];
if (in_array($origin, $allowed, true)) {
    header("Access-Control-Allow-Origin: $origin");
    header('Vary: Origin');
}

Проверку подлинности пользователя и его предметных прав на объект Шифрование соединения между браузером и сервером Доступ браузерного JavaScript одного origin к ответам другого origin Предотвращение отправки поддельной формы, даже если ответ атакующему не читается Разрешение любому серверному клиенту выполнять HTTP-запросы к API

Вопрос 12 из 30

Почему нельзя отражать любой Origin и разрешать credentials?

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
header("Access-Control-Allow-Origin: $origin");
header('Access-Control-Allow-Credentials: true');

Достаточно добавить Vary: Origin, чтобы любой источник стал доверенным Любой сайт сможет читать персональные ответы с cookie пользователя Отражение безопасно, если Origin начинается с https и содержит точку Credentials не отправляются при отражённом Origin, поэтому чтение ответа невозможно Риск существует только для GET; ответы POST браузер не раскрывает

Вопрос 13 из 30

Что такое preflight?

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header('Access-Control-Allow-Methods: GET, POST');
    header('Access-Control-Allow-Headers: Content-Type, X-CSRF-Token');
    http_response_code(204);
    exit;
}

Проверочный GET-запрос, который сервер выполняет перед обработкой POST OPTIONS-запрос браузера с вопросом, разрешены ли метод и заголовки Ответ на первый фактический запрос, который браузер затем использует как разрешение Первый фактический запрос с данными, после которого сервер решает, доверять ли origin Проверка CSRF-токена в PHP до маршрутизации запроса

Вопрос 14 из 30

Можно ли использовать Access-Control-Allow-Origin: * с credentials=true?

Можно в HTTP, а в HTTPS требуется конкретный origin Да, если cookie имеет HttpOnly и Secure Нет, браузер требует конкретный origin Да, браузер подставит фактический origin вместо звёздочки Можно только для POST, но не для GET и OPTIONS

Вопрос 15 из 30

Почему CORS не защищает endpoint от CSRF?

Запрос может быть отправлен, даже если браузер не даст атакующему прочитать ответ CORS блокирует отправку запроса до сервера, поэтому CSRF возможен только без Origin Если атакующий не читает ответ, изменяющий запрос не может причинить вред CSRF относится только к HTML-формам, а JSON endpoint защищён форматом тела Cookie не участвуют в кросс-сайтовых запросах, если сервер разрешил CORS

Вопрос 16 из 30

Что делает X-Content-Type-Options: nosniff?

header('X-Content-Type-Options: nosniff');

Заменяет серверный Content-Type на тип, определённый браузером по содержимому Запрещает приложению устанавливать cookie без явного MIME-типа Отключает кэширование ответа, чтобы тип определялся заново Блокирует любой ответ, чей Content-Type не совпадает с расширением URL Просит браузер не угадывать исполняемый тип вопреки Content-Type

Вопрос 17 из 30

Как запретить встраивание страницы в iframe?

header("Content-Security-Policy: frame-ancestors 'none'");

Заголовок X-Frame-Options: * Content-Type: text/html; frame=deny CSP frame-ancestors 'none' Referrer-Policy: no-referrer CSP frame-src none, которая управляет только исходящими iframe

Вопрос 18 из 30

Что делает HSTS?

header('Strict-Transport-Security: max-age=31536000; includeSubDomains');

После безопасного получения заставляет браузер обращаться к домену по HTTPS заданное время Заменяет атрибут Secure у cookie даже на первом HTTP-запросе Проверяет срок действия TLS-сертификата и автоматически продлевает его Запрещает серверу принимать незашифрованные соединения на порту 80 Автоматически переписывает все mixed-content ресурсы на рабочие HTTPS-адреса

Вопрос 19 из 30

Что ограничивает Referrer-Policy?

Набор параметров SQL, которые можно передать через URL Список разрешённых HTTP-методов для межсайтового запроса Политику доступа JavaScript к телу ответа другого origin Размер и срок жизни сессионной cookie Объём URL-источника, передаваемый в Referer другим запросам

Вопрос 20 из 30

Почему CSP nonce должен быть случайным для каждого ответа?

Случайность нужна только для ускорения разбора большого количества script-тегов Браузер принимает только nonce в формате UUID и отвергает другие строки Nonce можно фиксировать на выпуск: главное, чтобы он был длинным Повторяемый/предсказуемый nonce атакующий сможет использовать для своего inline-скрипта Nonce хранит секрет пользователя, поэтому должен совпадать с CSRF-токеном

Вопрос 21 из 30

Почему curl может показать 200, а браузер сообщает CORS error?

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
if ($origin === 'https://app.example') {
    header("Access-Control-Allow-Origin: $origin");
}

CORS-ошибка всегда означает, что фактический запрос вообще не дошёл до сервера Сервер выполняет другой SQL-запрос только из-за наличия пользовательского агента curl не применяет браузерную политику CORS curl автоматически добавляет все CORS-заголовки, а браузер их удаляет Браузер не поддерживает обычные HTTP-ответы с кодом 200 для API

Вопрос 22 из 30

Как тестировать CSRF?

$response = $client->post('/profile/email', ['email' => 'new@example.test']);
assert($response->status() === 403);

$response = $client->withSession($session)
    ->post('/profile/email', ['email' => 'new@example.test', 'csrf' => $validToken]);
assert($response->status() === 204);

Отправить изменяющий запрос без токена, с неверным и с верным токеном из одной сессии Проверить только одинаковую длину токена в сессии и форме без выполнения запроса Отправить один успешный GET и считать защиту всех изменяющих маршрутов подтверждённой Отключить cookie, чтобы любой запрос гарантированно был межсайтовым Проверить только наличие hidden input в сгенерированной HTML-форме

Вопрос 23 из 30

Что означает CSP report?

$report = json_decode(file_get_contents('php://input'), true, 512, JSON_THROW_ON_ERROR);
$logger->warning('CSP violation', [
    'directive' => $report['csp-report']['violated-directive'] ?? null,
    'blocked' => $report['csp-report']['blocked-uri'] ?? null,
]);

Браузер зафиксировал нарушение политики; отчёт нужно проверять и защищать от шума Сервер откатил SQL-транзакцию из-за запрещённого источника script Истёк TLS-сертификат, поэтому браузер не смог применить политику Пользователь успешно прошёл аутентификацию с новым устройством Нарушение обязательно означает успешное выполнение атаки и компрометацию пользователя

Вопрос 24 из 30

Какие origin считать разными?

Разные пути и query-параметры на одном host создают разные origin Порты не учитываются, если схема и доменное имя совпадают Поддомены одного registrable domain всегда принадлежат одному origin Только разные доменные cookie создают разные origin Различия схемы, хоста или порта создают другой origin

Вопрос 25 из 30

Что проверять у OPTIONS?

Статус, Allow-Origin, Allow-Methods, Allow-Headers, credentials и Vary: Origin CSRF-токен и пользовательские права на объект, но не CORS-заголовки Количество строк, которые фактический запрос изменит в базе Только код ответа и наличие пустого тела, остальные заголовки задаст браузер HTML страницы входа, возвращённый вместо ответа на OPTIONS

Вопрос 26 из 30

Почему доверять X-Forwarded-Proto от любого клиента опасно?

$isHttps = ($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '') === 'https';
setcookie('session', $id, ['secure' => $isHttps]);

Заголовок влияет только на таблицы стилей и не связан с безопасными ссылками Прокси всегда удаляет cookie, если клиент прислал собственный X-Forwarded-Proto X-Forwarded-Proto подписывается браузером и не может быть подделан клиентом Достаточно проверить, что значение равно строке https, не ограничивая доверенные прокси Атакующий может заставить приложение считать HTTP защищённым и выставить неверные ссылки/cookie

Вопрос 27 из 30

Как выпускать строгую CSP?

header("Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report");

Сначала инвентаризация и Report-Only, затем устранение inline/широких источников и постепенное блокирование Включить блокирование для 100% трафика до инвентаризации inline-кода и внешних ресурсов Оставить unsafe-inline и широкие https: источники, но удалить режим Report-Only Проверить только главную страницу, не проходя ошибки, вход и редкие маршруты Сразу включить default-src * и считать её строгой за счёт явного заголовка

Вопрос 28 из 30

Что мониторить?

Абсолютное число preflight без разреза по маршрутам, origin и причинам отказа Отказы CSRF, неожиданные Origin, CSP-нарушения и изменение доли CORS preflight ошибок Только количество PHP-файлов, изменившихся после включения заголовков Только успешные ответы, поскольку защитные отказы не влияют на пользователей Полные cookie и токены каждого отклонённого запроса без маскирования

Вопрос 29 из 30

Зачем проверять Host?

Host нужен только для выбора SQL-кодировки и не влияет на ссылки Можно доверять любому Host, если соединение использует HTTPS Достаточно удалить порт из Host и использовать оставшуюся строку без белого списка Host является секретом уровня пароля, поэтому его нельзя журналировать даже ограниченно Он участвует в абсолютных ссылках, сбросе пароля и маршрутизации; произвольный Host может отравить URL

Вопрос 30 из 30

Какой принцип для защитных заголовков лучше?

Хранить набор заголовков в пользовательской сессии и менять его по запросу Пусть браузер выбирает политику по умолчанию, если приложение не уверено Централизованное middleware с тестами и редкими явно обоснованными исключениями Исключать все ответы 4xx/5xx, чтобы политика не мешала диагностике Разрешить каждому контроллеру самостоятельно задавать заголовки без общих проверок