Welke cookies meegaan

Als Ana inlogt, zet het antwoord de sessiecookie, en een browser legt die in zijn cookiejar. In het model is de jar een lijst, en een cookie een dict. Hier zijn de headerregel uit hoofdstuk 4 en de dict die ervan wordt, met de waarde ingekort. De header is één regel, hier na Max-Age afgebroken zodat hij op de pagina past:

set-cookie: __Host-session=<22 characters>; HttpOnly; Max-Age=28800;
            Path=/; SameSite=Lax; Secure

{
    "name": "__Host-session",
    "value": "<22 characters>",
    "host": "reading.example",
    "path": "/",
    "secure": True,
    "samesite": "Lax",
}

host is de host die de cookie zette. samesite is "Strict", "Lax", "None", of "" voor een cookie die er geen noemt.

Bij elk verzoek dat een pagina begint, vraagt de browser van elke cookie in de jar: gaat deze mee? Er zijn vier tests, in deze volgorde: host, pad, Secure, SameSite. Een cookie die er één niet doorstaat, blijft thuis. cookies_to_send(jar, url, page_origin, *, method, top_level) is die lus. url is waar het verzoek naartoe gaat, en page_origin is de origin van de pagina die het begon.

Host

De cookie gaat alleen naar de exacte host die hem zette: cookie["host"] moet gelijk zijn aan urlsplit(url).hostname. De sessiecookie noemt geen Domain, dus app.reading.example krijgt hem nooit.

De test vergelijkt hosts, geen origins. Een cookie is niet aan een poort gebonden, dus een verzoek aan https://reading.example:8443 draagt de cookies van https://reading.example.

Pad

Een cookie gaat naar zijn eigen pad en naar elk pad daaronder. path_matches(cookie_path, request_path) is in drie gevallen waar:

1. de twee paden zijn gelijk;

2. het verzoekpad begint met het cookiepad, en het cookiepad eindigt op /;

3. het verzoekpad begint met het cookiepad, en het volgende teken is /.

Dus Path=/books matcht /books/7. Het matcht niet /booksx, dat met dezelfde letters begint en een ander pad is. Path=/ matcht alles. Een URL zonder pad, zoals https://reading.example, vraagt om /.

Secure

Een Secure-cookie gaat alleen naar een https-URL. HTTP with Python liet Secure weg, omdat de server daar gewoon HTTP sprak. Hoofdstuk 4 zette het aan. Deze test is de regel die de vlag betekenis geeft.

SameSite

Eerst vraagt de browser of het verzoek binnen één site blijft: same_site(page_origin, url), met je functie uit les 2. Als dat zo is, mag elke cookie mee. Zo niet, dan beslist het attribuut:

• Strict: de cookie blijft thuis.

• Lax: de cookie gaat alleen mee met een top-level navigatie waarvan de methode GET of HEAD is. In het model zijn een gevolgde link en een verstuurd formulier top-level navigaties: het antwoord wordt de pagina die de lezer ziet. Een afbeelding en een verzoek dat een script doet, zijn dat niet. Een link is een GET, een formulier kan GET of POST sturen, en geen enkele paginanavigatie gebruikt HEAD. Over sites heen laat Lax de cookie dus meegaan met een gevolgde link of een formulier dat met GET wordt verstuurd, en nooit met een formulier-POST, een afbeelding of het verzoek van een script. Daarom staat les 8 erop dat geen enkele GET iets verandert.

• None: de cookie gaat altijd mee.

• Geen attribuut: dit model behandelt de cookie als Lax, zoals Chromium doet.

samesite_allows(samesite, *, same_site_request, method, top_level) antwoordt voor één cookie. De * maakt de drie namen erna keyword-only. De meegeleverde set LAX_METHODS bevat "GET" en "HEAD". Vier antwoorden in deze tabel zijn voor jou:

Wat een browser weigert te bewaren

Sommige cookies bereiken de jar nooit. may_store(cookie, url) geeft voor drie ervan False terug:

• een Secure-cookie die is gezet door een antwoord van een http-URL;

• een cookie met SameSite=None en zonder Secure;

• een cookie waarvan de naam met __Host- begint en die niet Secure is, of waarvan het pad niet / is.

Hoofdstuk 4 koos het voorvoegsel __Host- als belofte. Hier is de code die een server eraan houdt.

Je opdracht

Schrijf in mini_browser.py de vier functies die voor les 3 zijn gemarkeerd, in deze volgorde: path_matches, samesite_allows, may_store, cookies_to_send. De laatste loopt de jar door, past de vier tests toe met continue, en geeft een nieuwe lijst terug met de cookies die meegaan, in de volgorde van de jar. Hij verandert de jar nooit.

Vul elk vraagteken in door het je functie te vragen. Deze regel vraagt naar het eerste:

python -c "import mini_browser; print(mini_browser.samesite_allows('Lax', same_site_request=False, method='GET', top_level=False))"

tests/steps.py bevat de vier pagina-origins als OWN, APP, NOTES en OTHER. Schrijf daarna twee tests in tests/test_browser.py. Elk bouwt een jar met één cookie-dict zoals die bovenaan deze pagina en roept mini_browser.cookies_to_send aan voor een formulier-POST naar steps.OWN + "/books/delete", met method="POST" en top_level=True:

• test_lax_cookie_stays_home_on_a_cross_site_post: vanaf steps.OTHER is het resultaat [].

• test_lax_cookie_travels_within_the_site: vanaf steps.NOTES is het resultaat gelijk aan de jar.

Voer daarna beide uit:

python -m pytest -q tests/test_browser.py
python mini_browser.py

De eerste eindigt op 2 passed. In de tabel van de tweede staat in de laatste kolom nu True, True, True, False: van de vier pagina’s post alleen die op other.example zijn formulier zonder de cookie.

Waar het model en echte browsers in deze les verschillen:

• Een ontbrekende SameSite. Het model behandelt die als Lax, zoals Chromium doet en zoals de huidige draft van de cookiestandaard zegt. Chromium laat zo’n cookie in de eerste twee minuten ook meegaan met een cross-site top-level POST, een uitzondering die de draft toestaat. Firefox en Safari behandelen een ontbrekende SameSite als None.

• SameSite=None zonder Secure. Chromium en Firefox weigeren die te bewaren, zoals het model doet. Safari bewaart hem.

• Het schema in een site. Chromium telt http://reading.example en https://reading.example als twee sites, zoals het model doet. Firefox en Safari tellen ze als één wanneer ze SameSite toepassen.

• localhost. Chrome en Firefox accepteren een Secure-cookie van http://localhost, en Safari niet. Het model accepteert er geen.

• Het voorvoegsel. De draft matcht __Host- zonder op hoofdletters te letten, en het model matcht het exact.

• Weggelaten. Het attribuut Domain, verloop op tijd, het partitioneren van cookies en het blokkeren van cookies die naar een derde partij worden gestuurd.

Klik daarna op Check my work.