クッキーメモ

cookie ハマリ

クッキーまわりではまったので、いろいろまとめておく。

クッキーのバージョン

クッキーの仕様にはバージョン０−２まである



  • ver0. ネスケが策定したもの
  • ver1. ネスケの仕様をもとに厳密にしたもの。多くのブラウザがサポートしてる(RFC2019)
  • ver2. さらに整理したもの？あまりサポートされてない(RFC2965)
javaの場合、v0とv1に対応しており、特にしてしなければv0の仕様に従う。




domain値について

  • domain属性を省略した場合は、そのクッキーをセットしたサーバのホスト名がブラウザに設定される。
  • domain属性にホスト名を設定した場合、ブラウザ側で勝手にドットがつく。これはRFCに準拠してると思われる。
  • 普通はdomain属性は設定してはいけない。domain属性を設定するのは、共通ドメインでクッキーを共用したいときのみである。


通常明示的にdomain属性を指定するのは、host.hoge.ne.jp など、hoge.ne.jpドメインのすべてのホストでクッキーを利用したい場合などに限るようである。したがって、host.hoge.ne.jpのCGIが



domain=host.hoge.ne.jp
と設定した場合、保存されるクッキーは



.host.hoge.ne.jp


となる。このため、クッキーはホスト名として保存されるのではなく、ドメイン名として保存される。

このように、特にクッキーを共用するのでなければdomain属性は省略すべきである。

余談１

最新の仕様であるRFC2965でもdomain属性を省略したときは、ホスト名となっている（ドットではじまらない）。

domain属性に設定するべきは、フルスペルのホスト名ではなくドメインのみである(host.hoge.comであれば.hoge.com)。

domain属性にホスト名をそのまま送ってしまうと、RFC2965に準拠している場合、次回から受け取れなくなってしまう。

(firefoxの場合大丈夫のようだが）

余談２


RFC2019に準拠するのであれば、domain属性が.foo.comの場合、www.foo.com はクッキーを参照できるが、a.b.foo.com はクッキーを参照できない。ただし、firefoxほか多くのブラウザでは、これに準拠しておらず（ネスケ仕様のバージョン０に準拠）普通にクッキーを送ってしまう。

余談３


ネスケの仕様では、ホスト名には少なくとも３つのドットが含まれてる必要があるとある。host.hoge.ne.jpのように通常は３つあるので納得。

ヘッダについて

  • ネスケ仕様によると、Set-Cookieヘッダは一度のレスポンスで何度も発行できる。
  • 同じパス、同じクッキー名であってもドメイン属性が違えば違うクッキーとして扱われる。
  • クライントからサーバへはクッキー本体以外の情報(属性？)は送られない。


 Cookie test=hoge;
↑ max-age, secureなどの情報はない。

  • Set-Cookieヘッダで削除できるのは、実際にそのクッキーが持っているドメイン情報のホストだけである。


hoge.com のクッキーであれば、aaa.hoge.com, bbb.hoge.com の各ホストでクッキーを削除できるが、
aaa.hoge.com のクッキーは bbb.hoge.com のクッキーは削除できない。そもそもクライアントからクッキーが送られてこない。

Java Tips


下記のように、同じクッキオブジェクトで2回addCookieしすると最後のaddCookieのみ有効になり、２つクッキーは発行されないので注意



 Cookie cookie = new Cookie("test", "hoge");

 cookie.setMaxAge(COOKIE_AGE);

 cookie.setDomain(request.getHeader("Host"));

 response.addCookie(cookie);
 cookie.setValue("fuga");

 cookie.setMaxAge(COOKIE_AGE);

 cookie.setDomain(null);

 response.addCookie(cookie);