会话 Cookie 的 Secure、HttpOnly、SameSite 三个属性分别针对什么攻击场景？
围绕“会话 Cookie 的 Secure、HttpOnly、SameSite 三个属性分别针对什么攻击场景”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须将三个属性分别对应中间人窃听、脚本窃取、跨站发送三类威胁。
核心关键词Cookie Secure HttpOnly SameSite 会话安全
面试知识索引 · 分类、标签与搜索
Web 安全 · HTTP面试题，6 道完整答案
Web 安全 · HTTP面试题第 1 页，显示第 1–6 题，共找到 6 道完整解析，可继续按分类、标签与关键词缩小范围。
6筛选结果
52技术分类
178检索标签
1索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
技术分类52 个
全部分类5000Web 安全43AI Agent511浏览器301JavaScript285React281AI 开发262CSS240Node.js217TypeScript206Vue180前端工程化138
查看全部 52 个分类
React Native135操作系统135数据库134Docker95计算机网络94API 设计90Kubernetes90HTML89Redis89全栈开发88分布式系统88系统设计86HTTP85Next.js60Angular58Linux53Nuxt51PostgreSQL46可观测性46设计模式46小程序45身份与权限45无障碍44MongoDB43PWA43Git42前端测试42前端性能41WebAssembly40测试40AI 工程37SvelteKit37Go35前端数据管理30React Router29AI 全栈28Svelte27算法12Java10数据结构5前端手写题3
第 1 页
本页面试问题
按稳定语义路径排序
- 0001
- 0002
Access-Control-Allow-Origin 等 CORS 响应头如何配置，通配符与凭证为什么不能共存？
围绕“Access-Control-Allow-Origin 等 CORS 响应头如何配置，通配符与凭证为什么不能共存”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明带 Cookie 请求时通配符被浏览器拒绝的规则及正确写法。
核心关键词CORS Access-Control-Allow-Origin 通配符 credentials - 0003
前端跨域请求携带 Cookie 需要在 fetch/XHR 和浏览器两端各满足什么条件？
围绕“前端跨域请求携带 Cookie 需要在 fetch/XHR 和浏览器两端各满足什么条件”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须同时回答客户端 credentials 设置与服务端响应头两个必要条件。
核心关键词fetch credentials include CORS 跨域 Cookie - 0004
纯 JSON API 要求自定义请求头，为什么这能在一定程度上天然抵御 CSRF？
围绕“纯 JSON API 要求自定义请求头，为什么这能在一定程度上天然抵御 CSRF”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要解释简单请求与预检请求的分界及自定义头触发 CORS 预检的机制。
核心关键词CSRF JSON API 自定义请求头 预检 - 0005
什么是混合内容问题，HSTS 如何防止 HTTPS 站点被降级回 HTTP？
围绕“什么是混合内容问题，HSTS 如何防止 HTTPS 站点被降级回 HTTP”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须分别回答被动/主动混合内容的阻断行为与 HSTS 的预加载机制及首次访问的空窗期。
核心关键词HSTS 混合内容 HTTPS 降级 - 0006
HttpOnly Cookie 能不能防 XSS，它实际缓解的是什么后果？
围绕“HttpOnly Cookie 能不能防 XSS，它实际缓解的是什么后果”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须区分「防攻击发生」与「限制攻击收益」，说明 HttpOnly 只阻止脚本读取 Cookie。
核心关键词HttpOnly Cookie XSS 会话窃取