Sessiya modeli
HTTP alohida so‘rovlar holatini o‘zi eslab qolmaydi. Server tasodifiy sessiya identifikatori beradi, brauzer uni cookie’da qaytaradi. Server identifikatorga foydalanuvchi holatini bog‘laydi. Cookie qiymatini foydalanuvchi identifikatori sifatida ko‘r-ko‘rona ishonish noto‘g‘ri.
Cookie atributlari
HttpOnly JavaScript orqali o‘qishni cheklaydi, Secure faqat HTTPS bilan yuboradi, SameSite cross-site yuborish holatlariga ta’sir qiladi. Path xavfsizlik chegarasi emas. Sessiya login vaqtida yangilanishi, logout’da bekor bo‘lishi va muddatga ega bo‘lishi kerak.
Cheklovlarni tushuning
HttpOnly XSS’ni tuzatmaydi: zararli script foydalanuvchi nomidan so‘rov yuborishi mumkin. SameSite CSRF himoyasining yagona qatlami bo‘lmasin. Tokenni URL yoki localStorage’da saqlash xavfini kontekst bilan baholang. Misoldagi cookie haqiqiy sessiya emas.
Python’da ko‘rib chiqamiz
from http.cookies import SimpleCookie
cookie = SimpleCookie()
cookie.load("sessionid=training; HttpOnly; Secure; SameSite=Lax")
print(cookie["sessionid"]["samesite"])Misolni
Mustaqil mashq
HttpOnly, Secure, SameSite uchun maqsad va cheklov jadvalini yozing. Portalga kirib brauzer DevTools’da cookie atributlarini ko‘ring; qiymatni konspektga ko‘chirmang.