Tarayıcı güvenlik sınırları
Cookie güvenliği ve kapsamı
Secure, HttpOnly ve SameSite farklı işleri yapar.
Kavramı anlayalım
Cookie, tarayıcının uygun isteklere otomatik eklediği state bilgisidir. Secure aktarımı güvenli bağlantıyla sınırlar; HttpOnly JavaScript’in cookie değerini okumasını engeller. HttpOnly, XSS’in kullanıcı adına istek yapmasını tamamen engellemez. SameSite cross-site gönderim davranışını sınırlar; SameSite=None için Secure gereklidir.
Domain yazılmazsa host-only kapsam elde edilir; gereksiz geniş domain kullanma. Path routing filtresidir, güçlü bir yetki sınırı değildir. __Host- prefix’li cookie Secure, Path=/ ve Domain olmaması koşullarını destekleyen tarayıcılarda uygular.
Cookie’ye secret koymak yerine kısa ömürlü opaque session kimliği gibi kontrollü mekanizmalar kullan. Set-Cookie Fetch JavaScript’ine normal bir okunabilir response header olarak sunulmaz. Browser storage policy ve cross-site kısıtları da devreye girebilir; server başlığını görmek cookie’nin kabul edildiğini tek başına kanıtlamaz.
Admin oturumunu doğru saklayıp teşhis etmek için.
HttpOnly varsa XSS veya CSRF artık mümkün değil demek.
Aynı konu. Üç farklı derinlik.
Set-Cookie: theme=dark; Path=/; SameSite=LaxHassas olmayan tercih örneği.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
HttpOnly bir script’in kullanıcı adına fetch yapmasını engeller mi?
Çözümü ve açıklamasını göster
Read protection ≠ action protectionTek başına hayır; XSS önleme ve server yetkisi ayrıca gerekir.