Кратко

  • RFC 10025 определяет хранение и возврат Cookie агентом пользователя в заданных пределах; смысл значения и актуальное принятие сессии остаются у приложения.
  • Secure, HttpOnly, SameSite, host-only, Domain, путь и префиксы ограничивают отдельные условия. Они не подтверждают намерение, разрешение операции и её завершение.
  • Надёжная система связывает, но не смешивает, выпуск и отзыв сессии, контекст запроса, правило авторизации, свежесть, commit и наблюдаемый результат.

Спор о смене реквизитов редко решается чтением одной заголовочной строки. Cookie может показать, какую сессию браузер предложил. Сервер может показать, что он распознал эту сессию. Затем остаются самостоятельные вопросы: была ли сессия заменена после восстановления доступа; прошла ли заявка проверку контекста; имел ли субъект право менять именно этот объект; не является ли это повтором старой инструкции; дошёл ли эффект до внешней системы.

RFC 10025 не присваивает cookie-value универсальный смысл. Это может быть непрозрачная ссылка на серверную сессию, настройка либо запись, которую сервер уже не принимает. Агент пользователя вправе проигнорировать Cookie или удалить её по своей политике. Наличие значения у клиента не является журналом живого разрешения на сервере.

Когда Domain отсутствует, Cookie имеет область host-only; допустимый Domain может расширить выборку на соответствующие хосты. Public Suffix List препятствует части слишком широких назначений. Эти правила говорят браузеру, где вернуть состояние. Они не объявляют, что все хосты в совпавшем пространстве имеют одну модель доверия или один мандат на финансовое, административное либо сетевое действие. Путь также помогает выборке, но не создаёт стену авторизации.

Secure сужает передачу до безопасного соединения в понимании агента пользователя; HttpOnly ограничивает доступ через не-HTTP API. Оба механизма нужны. Однако HttpOnly Cookie всё равно может автоматически сопровождать применимый HTTP-запрос. Поэтому ограничение чтения скриптом не устраняет проблему автоматического предъявления. RFC называет её ambient authority: другой участник может направить браузер с уже сохранённым состоянием к ресурсу, а приложение способно ошибочно принять это предъявление за текущую волю.

SameSite уменьшает некоторые межсайтовые пути, но RFC 10025 характеризует Lax как защиту в глубину для отдельных CSRF-сценариев, не как всеобщую надёжную защиту. Совместимость default-режима допускает недавнюю Cookie при навигации верхнего уровня с небезопасным методом. Значит, рискованная операция должна сама требовать нужный ей контекст: связанный anti-forgery материал, проверку происхождения там, где она уместна, свежую аутентификацию, лимит, ожидание или отдельное подтверждение.

Префиксы __Secure- и __Host- хорошо защищают выдачу и область: второй требует в том числе Path=/ и отсутствия Domain. Но они не проверяют отзыв сессии, изменение роли, мандат и исход во внешнем контуре. Пытаться назвать их полным контролем счёта — значит сделать точный механизм источником ложного вывода.

После разбора Cookie сервер должен принять сегодняшнее решение о сессии. Она может истечь, быть отозвана, заменена после смены учётных данных или исключена для чувствительной операции. Защита от session fixation состоит в ротации и отказе старому идентификатору при переходе полномочий. Затем отдельно оцениваются объект, роль, предел, делегирование, время и подтверждение. Успешный HTTP-ответ также не равен наблюдаемому эффекту: он может означать постановку задачи в очередь или начало интеграции. Нужны идентификатор действия, ссылка нижестоящей системы и сверка результата.

Источники