Rivalry2

HTML Diff

3 added 3 removed

Original 2026-01-01

Modified 2026-02-26

1 Изначально работать с HTTP было не очень просто. Дело в том, что это протокол без сохранения состояния, то есть каждый запрос-ответ не связан с предыдущим запросом-ответом. Это было неудобно, потому что иногда нам приходится запоминать информацию: например об аутентификации пользователя или о товарах в его корзине в интернет-магазине.

2 Тут возникает проблема: "Как запомнить, что это тот пользователь, с которым мы только что работали?". Решение этой проблемы было найдено когда был придуман механизм, который называетсяCookie.

3 Cookie (еще иначе "веб-куки" или "куки браузера") - это небольшой фрагмент данных, строка, который сервер отправляет веб-браузеру пользователя. Браузер может хранить куки, создавать новые куки, изменять существующие и отправлять их обратно на тот же сервер при последующих запросах.

4 В этом уроке мы детально разберемся, что такое куки и как они работают.

5 <h2>Как работают куки</h2>

6 Давайте сделаем запрос к сервису<a>HTTP Server</a>и посмотрим, как этот механизм работает

7 Выполним запрос для получения только заголовков, для этого добавим к запускуcurlфлаг--head:

8 Мы видим два заголовка, которые занимаются установкой cookie -set-cookie. Обратите внимание, что каждая cookie посылается в отдельном заголовке. Таких заголовков может быть достаточно много.

9 Изнутри кука представляет собой паруключ=значениеи отделяется от дополнительных параметров точкой с запятой. Куки сохраняются в браузере на клиенте и при следующем запросе он отправляет их обратно на сервер. Непосредственно в браузере они никак не используются.

10 Сам сервер использует куку для определения того, поступают ли разные запросы от одного и того же браузера или пользователя, и затем выдает персонализированный или общий ответ в зависимости от ситуации.

11 Хорошая аналогия - это как получить номерок в гардеробе и потом вернуть его, чтобы понять какая куртка ваша. При этом сам номерок никакой ценности не представляет, и его нельзя использовать самостоятельно.

12 Куки используются в основном для трех целей:

13 <ul><li>Управление сессией - хранение данных пользователя</li>

14 <li>Персонализация - пользовательские предпочтения, такие как язык отображения и тема пользовательского интерфейса.</li>

15 <li>Отслеживание - запись и анализ поведения пользователей.</li>

16 </ul>Также куки делятся как минимум на два типа: сессионные и постоянные.

17 <h3>Сессионные куки</h3>

18 Сессионные кукииспользуются для управления сессией, процессом общения клиента и сервера. Клиент отправляет в запросе куку, которую ему выдал сервер. Клиент подтвержает себя, а сервер продолжает с ним сессию. Так можно запоминать любые данные: статус входа пользователя в систему, содержимое корзины, результаты игр.

19 - В примере выше, сессионные куки не устанавливаются - мы видим дополнительные параметры в заголовкеset-cookie. У сессионной их нет. Также сессионные куки часто устанавливаются по запросу клиента. Наглядный пример - это механизм работы галочки "запомнить меня". Если вы авторизуетесь и не отметите эту галочку, а потом закроете браузер и снова зайдете на сайт, то будете не авторизованы.

19 + В примере выше, сессионные куки не устанавливаются - мы видим дополнительные параметры в заголовкеset-cookie. У сессионной их нет. Сессионные куки удаляются при закрытии браузера. Механизм работы галочки "запомнить меня" обычно реализуется постоянной кукой, чтобы сохранять авторизацию между сессиями.

20 Также важно помнить, что в отличие от постоянных кук, сессионные удаляются при закрытии браузера.

21 <h3>Постоянные куки</h3>

22 Вернемся к запросу выше. В этом случае устанавливаютсяпостоянные куки. Постоянные куки можно использовать для персонализации пользователя, например, запомнить, что пользователю нужна англоязычная версия сайта. Также эти куки используются для "трекинга", отслеживания пользователя: как и когда он заходит на сайт, переходы на сайте, даже связать пользователя между разными сервисами.

23 Постоянные куки так называются, потому что сохраняются на жестком диске - место их хранения может быть разным в зависимости от браузера. Такие куки отличаются от сессионных тем, что можно управлять длиной их жизни при помощи параметраexpires:

24 В параметреexpiresуказывается дата удаления куки, после которой она не будет отсылаться на сервер. Стоит сказать, что есть еще один параметр, который используется для тех же целей -MAX-AGE. В его значении указывается количество секунд, по истечении которых кука будет удалена:

25 Так как часть браузеров не поддерживаютMAX-AGE, некоторые фреймворки часто устанавливают сразу оба параметра и браузеры просто игнорируют тот, который им не нужен. Таким образом заголовокset-cookie, который содержит два параметраMAX-AGEиexpires, считается валидным. В стандарте также говорится, что регистр имени куки не имеет значения.

26 <h2>Параметры domain и path</h2>

27 Также можно установить еще несколько параметров. Параметрыdomainиpathзадаютобласть видимости куки- это URL, на которые кука может отправляться. Если они не заданы, то по умолчанию кука будет пересылаться на сервер только для текущего пути и домена. В нашем примере вpathуказан корень сайта, то есть кука будет отправляться для всех страниц:

28 Обратите внимание на одну важную деталь в этом примере. Если установленdomain=.hexlet.app, то кука будет работать не только для всех страниц сайта, но и для всех поддоменов - при этом наличие точки перед именем домена не имеет значения. Если мы совсем не установим параметрdomain, то кука для поддоменов работать не будет, хотя по умолчанию значение домена будетhexlet.app.

29 - Уникальность куки определяется тремя параметрамиkey(имя куки),domainиpath. Это значит, что если какую-то куку нужно переустановить, то при следующем запросе вset-cookieэти параметры должны совпадать. Если хотя бы один из них отличает��я, то будет установлена новая кука.

29 + Уникальность куки определяется тремя параметрамиkey(имя куки),domainиpath. Это значит, что если какую-то куку нужно переустановить, то при следующем запросе вset-cookieэти параметры должны совпадать. Если хотя бы один из них отличается, то будет установлена новая кука.

30 <h2>Удаление куки</h2>

31 Заголовка для удаления куки не существует. Чтобы удалить ее, нужно установить нулевой или отрицательныйMAX-AGE, либо задатьexpiresв прошлом, тогда кука будет немедленно удалена.

32 <h2>Куки и безопасность</h2>

33 - Основное назначение кук, аутентификация пользователя, открывает и потенциальную узявимость. Если злоумышленник украдет куку, и она будет все еще действительна, то сервер примет его за клиента.

33 + Основное назначение кук, аутентификация пользователя, открывает и потенциальную уязвимость. Если злоумышленник украдет куку, и она будет все еще действительна, то сервер примет его за клиента.

34 Для предотвращения атак с использованием кук есть несколько подходов:

35 <ul><li>Использовать атрибут HttpOnly для предотвращения доступа к кукам из JavaScript. В нашем примере такой параметр как раз установлен.</li>

36 <li>Важные куки, как кука аутентификации, должны иметь короткое время жизни и атрибут SameSite. Этот атрибут позволяет отправлять куку только внутри одного сайта.</li>

37 </ul><h2>Отправка на сервер</h2>

38 Мы обновляем страницу в браузере. После этого происходит отправка следующего заголовка:

39 Все куки отправляются одним заголовком в форматеkey=value; key=valueбез дополнительных параметров.