ملفات تعريف الارتباط وتخزين الويب

لماذا يهم

العيوب في هذا المجال تدور حول بيانات خاطئة تبقى أو بيانات صحيحة تختفي: مستخدم يظل مسجّل الدخول بعد تسجيل الخروج، وسلة تُفرَّغ عند التحديث، وعملية دفع تتعطل في علامة تبويب ثانية، وعنوان المستخدم السابق ظاهر على جهاز مشترك. ونادراً ما تظهر في تشغيل المسار السعيد (happy path)، لأن أحداً لا يغلق علامة التبويب أو يعيد تشغيل المتصفح أو يبدّل الحساب.

وتخزين المتصفح أيضاً مسألة أمان وخصوصية. فملف تعريف ارتباط الجلسة الذي يفتقد HttpOnly يستطيع أي سكربت في الصفحة قراءته، والرمز (token) المحفوظ في التخزين المحلي يبقى على الجهاز بعد مغادرة المستخدم، والبيانات الشخصية المحفوظة في المتصفح قد تبقى بعد انتهاء الغرض منها. ومعرفة سلوك كل آلية تحوّل هذه المخاطر إلى اختبارات مخطط لها.

ملفات تعريف الارتباط من وجهة نظر المتصفح

تعرّف RFC 6265 طريقة عمل ملفات تعريف الارتباط. يخزّن المتصفح كل ملف يقبله ويرفقه بالطلبات اللاحقة التي تطابق مضيفَه ومسارَه، إلى أن تنتهي صلاحيته. والسمات (attributes) هي التي تحدد إلى أين يذهب الملف وكم يعيش، ولذلك فهي ما تختبره.

في المثال أدناه لا يملك sid تاريخ انتهاء، فهو ملف تعريف ارتباط للجلسة (session cookie)، أما lang فدائم (persistent) لمدة سنة واحدة (⁦31,536,000⁩ ثانية). وفي الطلبات اللاحقة لا يرسل المتصفح إلا أزواج name=value دون السمات، ولهذا تفحص السمات في الاستجابة أو في لوحة Application.

• Expires (تاريخ) أو Max-Age (عدد ثوانٍ) يجعل الملف دائماً، وإذا وُجدا معاً فالأولوية لـMax-Age. ومن دونهما يكون ملف جلسة يُحذف عند انتهاء جلسة المتصفح.
• Domain وPath يحددان المضيفين والمسارات التي تستلمه. ومن دون Domain لا يستلمه إلا المضيف نفسه الذي وضعه.
• Secure يجعله يُرسل عبر HTTPS فقط، وHttpOnly يخفيه عن JavaScript فلا يظهر في document.cookie.
• SameSite (Strict أو Lax أو None) أحدث من RFC 6265 لكن المتصفحات الحالية تدعمه، وهو يتحكم في إرسال الملف مع الطلبات التي تبدأ من مواقع أخرى. والقيمة None تتطلب Secure؛ وتحقّق من أن التطبيق يضبط القيمة صراحةً بدلاً من الاعتماد على القيمة الافتراضية للمتصفح.
• تطلب RFC 6265 من المتصفحات دعم ⁦4096⁩ بايت على الأقل لكل ملف و⁦50⁩ ملفاً على الأقل لكل نطاق. وكل طلب مطابق يحمل الملفات معه، فالملفات الكبيرة تضيف بايتات إلى كل طلب، وقد يرفض الخادم طلباً تكبر ترويساته أكثر من اللازم.

HTTP/1.1 200 OK
Set-Cookie: sid=Yx81Tq0bA2; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=ar; Max-Age=31536000; Path=/; Secure; SameSite=Lax

GET /account HTTP/1.1
Host: shop.example
Cookie: sid=Yx81Tq0bA2; lang=ar

جرّبها: محلّل ملفات تعريف الارتباط (Cookies) جرّبها: محلّل ترويسات HTTP

كيف يحافظ المتصفح على الجلسة

بروتوكول HTTP عديم الحالة (stateless): كل طلب قائم بذاته. ولكي يبقيك مسجّل الدخول، ينشئ الخادم جلسة عند تسجيل الدخول ويحفظ بياناتها لديه، ولا يعطي المتصفح إلا معرّف جلسة عشوائياً، يكون عادةً في ملف تعريف ارتباط مثل sid. يرسله المتصفح مع كل طلب، فيبحث الخادم عن الجلسة. فالمتصفح يحمل المفتاح لا الجلسة.

وبعض تطبيقات الصفحة الواحدة (single-page applications) تستلم بدلاً من ذلك رمزاً، غالباً JWT (اختصار JSON Web Token: سلسلة نصية موقّعة تحمل معلومات مثل هوية المستخدم ووقت انتهاء الصلاحية)، وتحفظه في تخزين الويب أو في الذاكرة، ثم تضيفه بنفسها إلى ترويسة Authorization. وبما أن أي سكربت في الصفحة يستطيع قراءة تخزين الويب، تنصح OWASP بعدم حفظ معرّفات الجلسات أو الرموز فيه، بينما ملف تعريف الارتباط ذو HttpOnly بعيد عن متناول السكربتات. وفي الحالتين تنطبق فحوص الجلسة نفسها:

• تسجيل الدخول: يتغيّر معرّف الجلسة عند تسجيل الدخول، فلا تنفع بعده قيمة زُرعت قبله.
• تسجيل الخروج: يُبطل الخادم الجلسة. وحذف ملف تعريف الارتباط لا يكفي؛ فالطلب المعاد إرساله بالمعرّف القديم يجب أن يُرفض.
• مهلات الجلسة (timeouts): بعد مدة الخمول والمدة المطلقة المتفق عليهما تنتهي الجلسة، ويصل المستخدم إلى صفحة تسجيل الدخول برسالة واضحة لا إلى خطأ.
• علامات التبويب: ملف تعريف ارتباط الجلسة مشترك بين كل علامات التبويب، فبعد تسجيل الخروج في إحداها يجب أن تعرض البقية صفحة تسجيل الدخول عند أول إجراء تالٍ.

جرّبها: مفكّك ترميز JWT

التخزين المحلي وتخزين الجلسة

يعرّف معيار HTML تخزين الويب. يحفظ المخزنان مفاتيح وقيماً نصية فقط، ويُفصلان حسب الأصل (origin)، أي البروتوكول والمضيف والمنفذ، فنسختا الموقع على http وhttps لا تتشاركان البيانات، ولا يُستخدمان إلا من JavaScript، مثل localStorage.setItem('cart', value). ولا يُرسل شيء منهما إلى الخادم تلقائياً. ويختلفان في مدة البقاء وفي المشاركة:

• التخزين المحلي مشترك بين كل علامات التبويب للأصل نفسه وليس له تاريخ انتهاء: يبقى بعد إعادة تشغيل المتصفح حتى يمسحه سكربت أو المستخدم أو المتصفح.
• تخزين الجلسة خاص بعلامة تبويب واحدة. يبقى بعد إعادة التحميل ويُمسح عند إغلاقها؛ وعلامة التبويب الجديدة تحصل على مخزن خاص بها، أما تكرار علامة التبويب فينسخه.
• القيم نصوص فقط. والكائن الذي يُحفظ دون تحويله أولاً إلى نص بـJSON.stringify يصبح [object Object]، وهو عيب تستطيع رؤيته في لوحة Application.
• المساحة لكل أصل محدودة، وهي عادةً بضعة ميغابايتات بحسب المتصفح. وعندما تمتلئ يُطلق setItem خطأً يجب أن يعالجه التطبيق.
• النافذة الخاصة تحصل على تخزين منفصل يتخلص منه المتصفح عند انتهاء الجلسة الخاصة.

مثال تطبيقي: تسجيل الدخول والسلة والدفع

يضع متجرٌ sid ملفَّ تعريف ارتباط للجلسة، ويضع remember ملفاً لمدة ⁦30⁩ يوماً فقط عندما يختار المستخدم «تذكرني»، ويحفظ السلة في التخزين المحلي وخطوة الدفع في تخزين الجلسة. قبل الاختبار يتوقع المختبِر كل نتيجة من القواعد السابقة، ثم يتحقق منها في الصفحة وفي لوحة Application. ويفترض الجدول أن المستخدم اختار «تذكرني»؛ وكل خلية نتيجة متوقعة، وكل صف يصبح حالة اختبار.

إعادة فتح المتصفح دون «تذكرني» تعني تسجيل الدخول من جديد مع بقاء السلة؛ ومع «تذكرني» يُصدر المتجر sid جديداً بواسطة remember، الذي يجب أن يتوقف عن العمل بعد ⁦30⁩ يوماً. أما بقاء السلة بعد تسجيل الخروج فقرار يخص المنتج لا المختبِر: اطرحه سؤالاً وسجّل الإجابة في حالة الاختبار.

Action                         sid       remember   cart (local)   step (session)
Reload the page                kept      kept       kept           kept
Open the shop in a new tab     sent      sent       same cart      empty
Close and reopen the browser   gone (1)  kept       kept           gone (1)
Log out                        deleted   deleted    decide (2)     gone
Clear site data                gone      gone       gone           gone

Old sid replayed after logout  -> login page or 401, never account data
Shop after clearing site data  -> loads logged out, empty cart, no error
(1) unless the browser restores the previous session on start-up
(2) product decision: on a shared computer the next user sees the cart

اختبار بقاء البيانات والمسح والخصوصية

استخدم حساب اختبار، ولا تعدّل البيانات المحفوظة أو تمسحها إلا في أنظمة مسموح لك باختبارها. وغطِّ المجالات الخمسة التالية؛ وتبيّن أسطر Console التي تلي القائمة كيف تقرأ تخزين الويب وتغيّره مباشرةً.

• بقاء البيانات (persistence): إعادة التحميل، وعلامة تبويب جديدة، وعلامة تبويب مكررة، وإعادة تشغيل المتصفح، ولحظة انتهاء الصلاحية، مع مقارنة كل نتيجة بالمتطلب.
• المسح: احذف ملف تعريف ارتباط واحداً أو مفتاحاً واحداً، ثم امسح كل بيانات الموقع. يجب أن يبدأ التطبيق بداية نظيفة دون صفحة فارغة أو خطأ في السكربت.
• القيم القديمة والتالفة: القيمة غير الصالحة أو ذات الصيغة القديمة، كما يحدث بعد إصدار غيّر الصيغة، يجب ألا تعطّل المستخدمين العائدين.
• الجهاز المشترك: سجّل الدخول بالمستخدم A، ثم اخرج، ثم ادخل بالمستخدم B. لا يجوز أن يظهر لـB شيء من بيانات A، لا الاسم ولا العنوان ولا السلة ولا عمليات البحث ولا المسودات.
• الخصوصية: كلمات المرور وأرقام البطاقات لا مكان لها في ملفات تعريف الارتباط أو تخزين الويب، وسائر البيانات الشخصية لا تُحفظ إلا ما دامت ميزةٌ ما تحتاجها، وملفات الجلسة تحمل Secure وHttpOnly. وإذا طلب الموقع الموافقة على ملفات تعريف الارتباط، فارفض غير الضرورية منها وتأكد في لوحة Application أن شيئاً منها لم يُضبط.

localStorage.getItem('cart')          // read what the shop stored
localStorage.setItem('cart', '{bad')  // invalid JSON: reload, does the page recover?
sessionStorage.clear()                // empty this tab's session storage
document.cookie                       // HttpOnly cookies are not listed

أسئلة شائعة

المراجع

• RFC 6265: HTTP State Management MechanismIETF · 2011كيف تُضبط ملفات تعريف الارتباط وتُرسَل: سمات Set-Cookie (Expires وMax-Age وDomain وPath وSecure وHttpOnly) وقواعد نطاقها.
• HTML Living StandardWHATWGلغة HTML، بما فيها مراجع المحارف المسماة (الكيانات) وقواعد التحليل التي تتبعها المتصفحات.
• OWASP Cheat Sheet Series: Session ManagementOWASP Foundationإنتروبيا معرّف الجلسة وسمات ملف تعريف الارتباط والانتهاء والتجديد بعد تسجيل الدخول ومعالجة تسجيل الخروج.
• Using HTTP cookies — MDNMDN Web Docs (Mozilla)عمر ملف تعريف الارتباط ونطاقه وسمات Secure/HttpOnly/SameSite وآثارها الأمنية.