cookie
更新日:
用語解説
Cookieは、Webサイトがブラウザへ名前と値を保存させ、対象ドメインやパスなどの条件に合う後続HTTP要求で送り返させる状態管理の仕組みです。セション識別、設定保存、利用状況計測などに使われます。
■ 試験で押さえるポイント
サーバは応答のSet-Cookieヘッダで値と属性を指定し、ブラウザは該当要求のCookieヘッダで名前と値を送ります。Cookieの意味はアプリケーションが定めます。
Expires又はMax-AgeがないセションCookieは通常ブラウザセション終了まで、指定がある永続Cookieは期限まで保存されます。利用者が期限前に削除する場合もあります。
DomainとPathは送信範囲、SecureはHTTPSだけで送信、HttpOnlyはスクリプトAPIからの読取り制限、SameSiteはクロスサイト要求での送信を制御します。
Cookieは利用者側にあり改変され得るため、権限や価格を無検証で信用しません。セション状態はサーバ側に置き、Cookieには予測困難なIDだけを保存する方法が一般的です。
■ 選択肢での判断ポイント
Set-Cookieはサーバからブラウザ、Cookieはブラウザからサーバという向きを押さえます。Secure、HttpOnly、SameSiteの守る対象を区別します。
例: Set-Cookie: SID=abc; Path=/; Secure; HttpOnly; SameSite=Laxを受けると、ブラウザは条件に合うHTTPS要求へSIDを付けますが、通常のJavaScriptからSIDを読み取れません。