कुकी क्या है? ब्राउज़र स्थिति, सुरक्षा और दायरा

कुकी क्या है?

एक कुकी एक छोटा नाम-मूल्य आइटम है जिसे एक सर्वर उपयोगकर्ता एजेंट से स्टोर करने और बाद में अनुरोधों के साथ लौटाने के लिए पूछता है जो इसके दायरे से मेल खाते हैं। सर्वर Set-Cookie प्रतिक्रिया फ़ील्ड के साथ कुकीज़ बनाते या अपडेट करते हैं, जबकि उपयोगकर्ता एजेंट कुकी अनुरोध फ़ील्ड में लागू मान भेजते हैं। कुकीज़ वेब इंटरैक्शन में स्थिति जोड़ती हैं, लेकिन वे HTTP को स्वयं एक स्थिति-स्थायी प्रोटोकॉल में नहीं बदलती।

उपयोगी परिभाषा में तंत्र और इसकी सीमा दोनों शामिल होती हैं। कुकी एक आदान-प्रदान के एक विशिष्ट भाग को प्रभावित करती है, जबकि आसन्न जिम्मेदारियाँ HTTP, ब्राउज़र, चयनित परिवहन, अनुप्रयोग, या सर्वर के डेटा मॉडल के साथ बनी रहती हैं। उन स्तरों को अलग रखना त्रुटि रिपोर्ट को पुन: प्रस्तुत करने योग्य बनाता है और एक कॉन्फ़िगरेशन परिवर्तन को पहुंच-नियंत्रण निर्णय के लिए गलत समझा जाने से रोकता है।

एपीआई डेवलपर्स के लिए, पहला प्रश्न यह है कि मूल्य या व्यवहार कौन बनाता है। अगला प्रश्न यह है कि इसे कौन व्याख्या करता है। अंतिम प्रश्न यह है कि कौन सा प्रेक्षित परिणाम यह साबित करता है कि व्याख्या सफल रही। ये तीन उत्तर एक शब्दकोश शब्द को एक परीक्षण योग्य इंटरफ़ेस अनुबंध में बदलते हैं।

कुकी संग्रहण और वापसी चक्र

एक प्रतिक्रिया में एक या एक से अधिक Set-Cookie फ़ील्ड हो सकते हैं। प्रत्येक निर्देश एक नाम और मान के साथ-साथ विशेषताएँ प्रदान करता है जो डोमेन, पथ, जीवनकाल, परिवहन सुरक्षा, स्क्रिप्ट पहुँच, क्रॉस-साइट व्यवहार, और वैकल्पिक विभाजन को नियंत्रित करती हैं। उपयोगकर्ता एजेंट स्टोर करने से पहले निर्देश का मूल्यांकन करता है।

एक बाद की अनुरोध पर, उपयोगकर्ता एजेंट उन स्टोर की गई कुकीज़ का चयन करता है जिनका डोमेन, पथ, सुरक्षा, समाप्ति, और समान-साइट नियम अनुरोध संदर्भ से मेल खाते हैं। यह चयनित नाम-मूल्य जोड़े को कुकी फ़ील्ड में अनुवाद करता है। फिर सर्वर अपारदर्शी मानों को अनुप्रयोग स्थिति जैसे एक सत्र रिकॉर्ड या प्राथमिकता के लिए मानचित्रित करता है।

कुकी मूल्य स्वचालित रूप से एन्क्रिप्ट या विश्वसनीय नहीं होता है। एक क्लाइंट कई कुकी मूल्यों को बदल सकता है, और नेटवर्क सुरक्षा यह साबित नहीं करती है कि अनुप्रयोग डेटा मान्य है। सर्वर अपने आर्किटेक्चर के अनुसार संवेदनशील स्थिति को साइन, एन्क्रिप्ट या देख सकते हैं और फिर भी प्रत्येक अनुरोध पर प्राधिकरण की मान्यता करते हैं।

हटाना एक और Set-Cookie संचालन है जिसमें वही नाम और मेल खाने वाला दायरा होता है जिसमें समाप्त जीवनकाल होता है। गलत पथ या डोमेन के तहत एक नाम को हटाना किसी अन्य कुकी को सक्रिय छोड़ सकता है, यही वजह है कि दायरा प्रथा में कुकी की पहचान का एक हिस्सा होता है।

कुकी गुण और उनके कार्य

निम्नलिखित शर्तें उन घटकों को अलग करती हैं जो अक्सर एक लेबल में समाहित होते हैं। उन्हें प्रतिभागियों के बीच इंटरफेस के रूप में पढ़ें, न कि नेटवर्क ट्रेस में सजावट के रूप में।

वेब डेटा संग्रहण में कुकी का महत्व क्यों है

कुकी यह बदल सकती है कि कौन से बाइट्स आते हैं, उन बाइट्स को कैसे व्याख्यायित किया जाता है, या क्या ब्राउज़र कोड परिणाम को देख सकता है। एक संग्रह कार्यप्रवाह को उपकरण बदलने से पहले उस प्रभाव को स्थान पर रखना चाहिए। अनुरोधित URL, अंतिम URL, प्रतिक्रिया स्थिति, प्रस्तुति प्रकार, प्रासंगिक प्रोटोकॉल फ़ील्ड, और एक अपेक्षित सामग्री मार्कर को रिकॉर्ड करें। वह संक्षिप्त रिकॉर्ड सही पृष्ठ को एक पहुँच संदेश, सहमति स्क्रीन, पुनर्निर्देशन लक्ष्य, खाली अनुप्रयोग शेल, या असंगत एन्कोडिंग से अलग करता है।

प्रत्यक्ष HTTP सबसे सरल अधिग्रहण पथ है जब आवश्यक डेटा एक खुले सर्वर-निर्मित प्रतिक्रिया में मौजूद होता है। एक ब्राउज़र तब प्रासंगिक हो जाता है जब अनुमोदित सामग्री जावास्क्रिप्ट निष्पादन, ब्राउज़र-प्रबंधित स्थिति, नेविगेशन, या ब्राउज़र सुरक्षा नीति पर निर्भर करती है। दोनों पथों को एक समान दिखने के लिए मजबूर नहीं किया जाना चाहिए: ब्राउज़र्स कुकीज़, संकुचन, पुनर्निर्देशन, CORS, और प्लेटफ़ॉर्म नियमों के अनुसार संग्रहण का प्रबंधन करते हैं, जबकि एक प्रत्यक्ष क्लाइंट एक अलग सेट की डिफ़ॉल्ट सेटिंग्स को उजागर करता है।

सत्र निरंतरता महत्वपूर्ण है जब कोई एक प्रतिक्रिया अगली अनुरोध के लिए स्थिति स्थापित करती है। एक अधिकृत अनुक्रम को एक सीमाबद्ध क्लाइंट संदर्भ के भीतर रखें, आवश्यक स्थानीयकृत और नेटवर्क मूल को बनाए रखें, और असंबंधित कार्यों से स्थिति को मिश्रित करने से बचें। एक प्रॉक्सी नेटवर्क मूल को बदल देती है; यह हेडर को पुन: उत्पन्न नहीं करता, प्रतिनिधित्वों को डिकोड नहीं करता, स्क्रिप्ट निष्पादित नहीं करता, या प्रतिबंधित सामग्री तक पहुँच नहीं देता।

प्रतिनिधित्व सत्यापन के बाद ही पार्सिंग शुरू होती है। फ़ील्ड निकालने से पहले अंतिम होस्ट, कCanonical पहचान जहां उपलब्ध हो, मीडिया प्रकार, डिकोडिंग स्थिति, और आवश्यक व्यापार मार्कर की पुष्टि करें। इस क्रम से एक पार्सर को एक त्रुटि दस्तावेज़ को खाली रिकॉर्ड में बदलने से रोका जा सकता है जो तकनीकी रूप से सफल प्रतीत होते हैं।

मध्यस्थों को स्पष्ट ध्यान की आवश्यकता है। एक सामग्री वितरण नेटवर्क एक एन्कोडेड वैरिएंट का चयन कर सकता है, एक गेटवे OPTIONS का उत्तर दे सकता है, एक कैश एक वार्ता की गई प्रतिक्रिया का पुन: उपयोग कर सकता है, और एक अनुप्रयोग सर्वर कुकीज़ या प्राधिकरण फ़ील्ड सेट कर सकता है। केवल अनुप्रयोग कोड की तुलना अंतिम पृष्ठ आउटपुट से करना उस परत को छोड़ देता है जिसने निर्णय लिया हो सकता है।

स्क्रैपलेस यूनिवर्सल स्क्रैपिंग एपीआई उस समय प्रासंगिक होता है जब एक टीम की अनुमति प्राप्त सार्वजनिक सामग्री की प्रबंधित पुनर्प्राप्ति की आवश्यकता होती है, जिसमें जावास्क्रिप्ट-रेंडर की गई पृष्ठ शामिल हैं। अधिग्रहण अनुबंध को अभी भी लक्षित, अनुमत फ़ील्ड, अपेक्षित प्रतिनिधित्व, स्वीकृति मार्कर, और रोकने की शर्तें को परिभाषित करना चाहिए। उत्पाद क्षमता स्रोत शर्तों, गोपनीयता समीक्षाओं, या अनुप्रयोग-स्तरीय सत्यापन को प्रतिस्थापित नहीं करती है।

कुकीज़ सामान्यतः क्या दर्शाती हैं

कुकी एक आर्किटेक्चर में एक स्थान अर्जित करती है जब यह एक ठोस उत्पाद व्यवहार, संगतता आवश्यकता, या निदान निर्णय को बदलती है। ये उपयोग मामलों में पहले काम का वर्णन होता है और दूसरे में प्रोटोकॉल विशेषता।

कुकीज़ की तुलना अन्य ब्राउज़र भंडारण के साथ

कुकी एक HTTP परत का हिस्सा है और इसे निकटतम परतों के साथ भ्रमित नहीं होना चाहिए। एक साउंड कार्यान्वयन यह पहचानता है कि कौन सा घटक मान का चयन करता है, कौन सा घटक इसे बदल सकता है, और क्या साक्ष्य अंतिम प्रतिनिधित्व को सही साबित करता है।

एक तुलना केवल तभी उपयोगी होती है जब यह परत सीमाओं को बनाए रखती है। दो तंत्र एक अनुरोध में सह-अस्तित्व में रह सकते हैं, और एक को बदलने से स्वचालित रूप से दूसरे को बदल नहीं मिलता। चयनित व्यवहार को इनपुट्स, अवलोकनीय आउटपुट, विफलता स्थिति, और स्वामित्व के संदर्भ में दस्तावेज करें।

कुकी सुरक्षा परिणामों के साथ गलतियाँ

• पढ़ने योग्य मूल्यों में संवेदनशील डेटा डालना। कुकी बाइट्स लॉग, एक्सटेंशन, स्क्रिप्ट, या क्लाइंट संशोधन के माध्यम से प्रकट हो सकते हैं, जो गुणों और डिज़ाइन के आधार पर होते हैं।
• विस्तृत डोमेन और पथ स्कोप का उपयोग करना। एक विस्तृत दायरा मान को आवश्यक से अधिक अनुरोध संदर्भों में भेजता है।
• SameSite को पूर्ण CSRF सुरक्षा के रूप में मानना। SameSite एक नियंत्रण है; अनुप्रयोगों को अभी भी उस कार्यप्रवाह के लिए उपयुक्त विधि, उत्पत्ति, और टोकन रक्षा की आवश्यकता है।
• HttpOnly को सत्र पहचानकर्ताओं पर भूल जाना। स्क्रिप्ट-पढ़ने योग्य प्रमाणीकरण कुकीज़ स्क्रिप्ट इंजेक्शन दोष के प्रभाव को बढ़ाते हैं।
• पथ मानते हैं कि पहुंच को रोकता है। पथ प्रेषण नियमों को प्रभावित करता है लेकिन इसे एक प्राधिकरण तंत्र के रूप में सामग्री को अलग नहीं करता है।
• पूर्ण कुकी फ़ील्ड को रिकॉर्ड करना। कार्यात्मक लॉग दूसरे प्रमाणपत्र स्टोर में परिवर्तित हो सकते हैं जब तक मानों को अनामिकृत नहीं किया जाता है।

अधिकांश विफलताएँ तब अधिक आसान होती हैं जब हम पुस्तकालय या ब्राउज़र द्वारा स्वचालित रूप से किए गए कार्यों के बारे में धारणाओं को हटाते हैं। एक न्यूनतम ट्रेस कैप्चर करें, रहस्यों को अनामिकृत करें, और एक नियंत्रित चर को एक बार में बदलें। लक्ष्य वापस किए गए प्रतिनिधित्व की एक स्थिर व्याख्या है, न कि असंबंधित हेडर ट्विक का संग्रह।

एक कुकी डिबगिंग अनुक्रम

यह अनुक्रम लॉन्च से पहले एक डिज़ाइन समीक्षा के रूप में और व्यवहार परिवर्तनों के बाद एक उत्पादन निदान के रूप में काम करता है। यह प्रोटोकॉल साक्ष्यों को अनुप्रयोग के परिणाम से जोड़े रखता है।

1. उस अनुरोध पर सटीक सेट-कुकी प्रतिक्रिया का निरीक्षण करें जो स्थिति बनानी चाहिए।
2. स्क्रीनशॉट और साझा लॉग से मान को अनामिकृत करते समय नाम और पैरामीटर को रिकॉर्ड करें।
3. होस्ट, पथ, योजना, समान-साइट संदर्भ, और बाद के अनुरोध के लिए समाप्ति की जांच करें।
4. निर्देशन स्वीकार किया गया या नहीं इसकी पुष्टि करने के लिए ब्राउज़र के कुकी स्टोरेज व्यू का उपयोग करें।
5. बाद के कुकी अनुरोध फ़ील्ड का निरीक्षण करें और सत्यापित करें कि अपेक्षित नाम केवल वहीं मौजूद है जहाँ इरादा था।
6. सर्वर की पुष्टि करें कि मान वर्तमान स्थिति से मेल खाता है और बासी या अनधिकृत रिकॉर्ड स्वीकार नहीं करता है।
7. समान स्कोप विशेषताओं के साथ हटाएं और सत्यापित करें कि किसी अन्य पथ के तहत कोई डुप्लिकेट कुकी नहीं बचा है।

स्वीकृत नमूने और अस्वीकृत नमूने के साथ समीक्षा समाप्त करें और वही अनामिकरण नियमों के साथ। भविष्य के परिवर्तनों की तुलना ज्ञात पृष्ठ पहचान, अपेक्षित फ़ील्ड और डिकोडेड सामग्री के खिलाफ की जा सकती है, न कि केवल मेमोरी या स्क्रीनशॉट के खिलाफ।

कुकी के लिए सुरक्षा और अवलोकनशीलता

कुकी एक अनुरोध पथ में भाग लेती है जो ब्राउज़रों, गेटवे, कैश और मूल सर्वरों को पार कर सकती है। प्रत्येक हॉप केवल उन मूल्यों को स्वीकार करना चाहिए जो वह समझता है, जिन फ़ील्ड को जीवित रहना चाहिए उन्हें संरक्षित रखना चाहिए, और प्रमाणपत्र या व्यक्तिगत डेटा को लॉग में कॉपी करने से बचना चाहिए। प्रोटोकॉल वाक्य रचना प्राधिकरण नहीं है।

कार्यात्मक रिकॉर्ड को अनुरोधित URL, अंतिम URL, स्थिति, प्रतिनिधित्व प्रकार, संबंधित फ़ील्ड नाम, और एक बाउंड सामग्री मार्कर कैप्चर करना चाहिए। पूर्ण निकाय और प्रमाण पत्र के मान सामान्य निदान के लिए शायद ही कभी आवश्यक होते हैं और अनावश्यक वसूली जोखिम पैदा कर सकते हैं।

ब्राउज़र का व्यवहार और सीधे HTTP का व्यवहार अलग परीक्षण सतहें हैं। CORS, कुकी संग्रहण, स्वचालित डीकंप्रेशन, और रिडायरेक्ट हैंडलिंग ब्राउज़र या पुस्तकालय द्वारा किया जा सकता है इससे पहले कि अनुप्रयोग कोड परिणाम देख सके। कैप्चर करते समय क्लाइंट और इसकी डिफ़ॉल्ट सेटिंग्स को रिकॉर्ड करें।

कुकी को परिभाषित करने वाले मानक

HTTP कुकी विनिर्देशन कुकी और सेट-कुकी व्यवहार को परिभाषित करता है। यह प्राथमिक स्रोत इस लेख में उपयोग की गई शब्दावली और सीमा को ठीक करता है, जबकि कार्यान्वयन व्यवहार को अभी भी चयनित क्लाइंट और तैनाती में अवलोकित करने की आवश्यकता है।

MDN का कुकी गाइड ब्राउज़र संग्रहण, जीवनकाल, और सुरक्षा विशेषताओं को समझाता है। यह प्राथमिक स्रोत इस लेख में उपयोग की गई शब्दावली और सीमा को ठीक करता है, जबकि कार्यान्वयन व्यवहार को अभी भी चयनित क्लाइंट और तैनाती में अवलोकित करने की आवश्यकता है।

सेट-कुकी फ़ील्ड संदर्भ वर्तमान विशेषता व्यवहार को दस्तावेज करता है। यह प्राथमिक स्रोत इस लेख में उपयोग की गई शब्दावली और सीमा को ठीक करता है, जबकि कार्यान्वयन व्यवहार को अभी भी चयनित क्लाइंट और तैनाती में अवलोकित करने की आवश्यकता है।

OWASP सत्र प्रबंधन मार्गदर्शन कुकी सेटिंग्स को सत्र सुरक्षा से जोड़ता है। यह प्राथमिक स्रोत इस लेख में उपयोग की गई शब्दावली और सीमा को ठीक करता है, जबकि कार्यान्वयन व्यवहार को अभी भी चयनित क्लाइंट और तैनाती में अवलोकित करने की आवश्यकता है।

कुकी की सीमा

एक कुकी एक ब्राउज़र-प्रबंधित राज्य है जिसमें स्पष्ट स्कोप और जीवनकाल होता है; सुरक्षित अनुप्रयोगों को मान संकीर्ण रखना चाहिए, इसे सर्वर-साइड मान्य करना चाहिए, और स्टोरेज विशेषताओं को प्राधिकरण के रूप में व्यवहार करने से बचना चाहिए।

उस नियम को एक स्वीकृति परीक्षण में डालें। यह स्पष्ट करें कि कौन सा प्रतिभागी संकेत भेजता है, कौन सा प्रतिभागी इसे समझता है, कौन से मध्यवर्ती पथ को बदल सकते हैं, और कौन सा सामग्री मार्कर सफलता को प्रमाणित करता है। यह कुकी को एक अवलोकनीय प्रणाली का हिस्सा बनाता है न कि एक लेबल जो एक विफलता के बाद जुड़ा हुआ है।

संदर्भ

• Scrapeless Universal Scraping API दस्तावेज़ीकरण
• Scrapeless Universal Scraping API उत्पाद अवलोकन
• हेडर, कुकीज़, सत्र और प्रतिनिधित्व मान्यता पर Scrapeless गाइड
• GitHub पर Scrapeless