الخلاصة

  • يحدد RFC 10025 شروط تخزين حالة Cookie وإعادتها من وكيل المستخدم. أما معنى القيمة وقبول الجلسة الآن فهما قرار التطبيق.
  • تحدد Domain وpath وSecure وHttpOnly وSameSite والبادئات حدوداً جزئية للإصدار أو الإرسال. لا تثبت أن الفعل مقصود أو مخوّل أو مكتمل.
  • تحتاج العمليات ذات الأثر إلى سلسلة مستقلة للجلسة والسياق والسياسة والحداثة والالتزام والنتيجة المرصودة، لا إلى استنتاج واحد من رأس طلب.

عند وقوع نزاع حول تعديل حساب، قد يجد المحقق أن المتصفح أرسل Cookie وأن الخادم ربطها بجلسة. هذه بداية نافعة للتحقيق، لا خاتمته. لا تقول هذه المطابقة هل تغيرت صلاحيات الحساب قبل الطلب، أو هل جاء محتوى الطلب من سياق مقبول، أو هل استوفى التعديل قاعدة الموافقة، أو هل أنجز النظام اللاحق النتيجة المقصودة.

يتعمد RFC 10025 ترك الدلالة التطبيقية لقيمة cookie خارج المعيار. فقد تشير إلى جلسة خادمية، أو تفضيل، أو حالة مؤقتة، أو مرجع أبطله الخادم. ويستطيع وكيل المستخدم تجاهل Cookie أو إزالتها وفق سياسته. لذلك لا يملك الخادم حق افتراض أن ما بقي في المتصفح يثبت أن قراره الحالي بقي كما هو.

توضح قواعد النطاق هذا الحد. Cookie بلا Domain تكون host-only، أما Domain المقبول فيوسع اختيار المتصفح عبر نطاق مطابق. معالجة اللواحق العامة تمنع بعض المجالات الواسعة جداً. غير أن ذلك يجيب عن سؤال: إلى أي وجهة قد يحمل المتصفح القيمة؟ ولا يجيب عن سؤال: أي خدمة أو دور يملك الآن حق استعمال الجلسة لتغيير كيان محدد؟ path أيضاً قاعدة اختيار، لا جدار تفويض.

Secure يقيد الإرسال إلى مفهوم الاتصال الآمن لدى المتصفح، وHttpOnly يقيد الوصول عبر واجهات غير HTTP. كلاهما ضروري لكنهما لا يثبتان نية مستخدم ولا يبطلان جلسة ولا يراجعان حداً مالياً. قد يرسل المتصفح Cookie من نوع HttpOnly مع طلب HTTP مناسب رغم أن برنامجاً نصياً لا يستطيع قراءتها. هنا تظهر السلطة المحيطة التي يسميها RFC: يمكن لجهة أخرى أن توجّه متصفحاً يملك حالة شبيهة بالاعتماد إلى مورد ما.

SameSite يقلل بعض الإرسال بين المواقع، لكنه ليس شهادة عامة ضد CSRF. يصف RFC وضع Lax بأنه دفاع متعمق ضد حالات معينة، كما أن سلوك التوافق للوضع الافتراضي يتيح في ظروف محددة Cookie حديثة في تنقل علوي بطريقة غير آمنة. لذلك يلزم لكل فعل حساس فحص سياق ملائم ووسيلة ربط بالفعل نفسه، وقد يلزم تحقق حديث أو حد أو تأكيد مستقل.

وتقوي البادئتان __Secure- و__Host- لحظة الإصدار: الأولى تتطلب مصدراً آمناً وSecure، والثانية تضيف Path=/ ومنع Domain. لا تستعلم أي منهما عن إلغاء الجلسة أو تفويض الدور أو اكتمال التحويل. ضبط هذه الحدود لا يقلل من قيمتها؛ بل يمنع تحميلها ادعاء لا يمكنها إثباته.

بعد قراءة Cookie تبدأ مسؤولية الخادم. قد تكون الجلسة منتهية أو مستبدلة بعد استرداد الحساب أو ملغاة أو غير صالحة لفعل مرتفع الأثر. معالجة تثبيت الجلسة تكون بالتدوير ورفض المعرّف القديم عندما تعبر السلطة إلى حالة جديدة. وقبول الجلسة ليس نهاية الطريق: يجب تقييم الهدف والدور والولاية والحدود والتأكيد والوقت.

والاستجابة الناجحة ليست بالضرورة نتيجة مكتملة. قد تعني قبول أمر في طابور أو كتابة محلية أو بدء تكامل. السجل الجيد يصل مرجع الطلب بقرار السياسة وبحالة الالتزام وبمرجع النظام اللاحق وبالمشاهدة النهائية. هكذا يمكن إلغاء جلسة أو رفض طلب أو تسوية أثر دون اختراع رواية جديدة للوقائع السابقة.

المصادر