Sicherheit · Frage 4 von 12
Ein Kontaktformular prüft seine Eingaben nur im Browser mit dem HTML-Attribut required und JavaScript. Warum reicht das aus Sicherheitssicht nicht?
1 Antwort ist richtig. Einfach
Lösung anzeigen
Lösung
- B Ein Angreifer kann Anfragen direkt an den Server schicken und die Prüfung im Browser umgehen
Erklärung
Alles, was im Browser läuft, hat der Benutzer unter Kontrolle: Er kann JavaScript abschalten, das HTML in den Entwicklerwerkzeugen ändern oder die Anfrage mit curl selbst zusammenbauen. Die Prüfung im Browser verbessert daher nur die Benutzerfreundlichkeit, weil Fehler sofort angezeigt werden. Die verbindliche Validierung muss immer auf dem Server stattfinden, in TYPO3 z. B. mit den Validatoren des Form Frameworks oder mit Extbase-Validatoren. required funktioniert unabhängig von HTTPS; das Problem ist nicht der Browser, sondern dass man ihm nicht vertrauen darf.