Edit

Page

Page title:

Page body:

[1] [[クライアント]]が保持できる [[Cookie]] は無限ではなく、制限を超えた [[Cookie]] は削除して構わないことになっています。

* 仕様書

[REFS[
- [20] [CITE@en[RFC 6265 - HTTP State Management Mechanism]] ([TIME[2014-10-12 15:11:47 +09:00]] 版) <http://tools.ietf.org/html/rfc6265#section-5.3>
- [28] [CITE@en[RFC 6265 - HTTP State Management Mechanism]] ([TIME[2014-10-12 15:11:47 +09:00]] 版) <http://tools.ietf.org/html/rfc6265#section-6.1>
]REFS]

* 処理モデル

[21] [[利用者エージェント]]は、同じ[[ドメイン]]の[[クッキー]]が[[実装定義]]の上限を超えているなら、いつでも[[超過クッキーを削除]]して構いません [SRC[>>20]]。
一般用の[[利用者エージェント]]は、[[ドメイン]]毎に最低50個の[[クッキー]]を扱える[['''べきです''']] [SRC[>>28]]。

[22] [[利用者エージェント]]は、[[クッキー]]が予め決めた上限を超えているなら、いつでも[[超過クッキーを削除]]して構いません [SRC[>>20]]。
一般用の[[利用者エージェント]]は、最低3000個の[[クッキー]]を扱える[['''べきです''']] [SRC[>>28]]。

[29] 一般用の[[利用者エージェント]]は、[[クッキー]]毎に最低4096バイト
(名前、値、[[属性]]の総和) は扱える[['''べきです''']] [SRC[>>28]]。

[23] [DFN[[RUBYB[[[超過クッキーを削除]]]@en[remove excess cookies]]]]する場合は、
次の優先順位で削除しなければ[['''なりません''']] [SRC[>>20]]。
[FIG(list)[
= [24] [[満期]]となった[[クッキー]]
= [25] 同じ[[ドメイン]]の[[クッキー]]が予め決めた閾値以上存在する[[クッキー]]
= [26] すべての[[クッキー]]
]FIG]

[27] 同位の[[クッキー]]の場合は、最終アクセス日付が早いものから順に削除しなければ[['''なりません''']]
[SRC[>>20]]。

[30] [[鯖]]は、[[利用者エージェント]]側の保管上限に達するのを避けるとともに[[ネットワーク帯域]]を削減するため、
[[クッキー]]を極力少数に抑える[['''べきです''']] [SRC[>>28]]。

* 歴史

** Netscape Cookie

[REFS[
- [2] [[Netscape Cookie]]: [CITE[Client Side State - HTTP Cookies]]
<http://web.archive.org/web/19961125090609/http://www2.netscape.com/newsref/std/cookie_spec.html>
]REFS]

[3] [[NetscapeのCookie仕様]]は[[利用者エージェント]]が最低限保持するべきである量を定めています
[SRC[>>2]]。

- 全 [[Cookie]] 300個
- 各 [[Cookie]] 4[[キロバイト]]
-- 名前と値の組の両方の[[和]]
- 各[[ドメイン]] [[Cookie]] 20個
-- ドメイン名は階層構造になっているけど、その関係は無視してそれぞれの[[ドメイン]]で20個

[4] [[鯖]]は、これ以上の [[Cookie]] を扱えると期待するべきではありません。 [SRC[>>2]]

[5] 個数制限を超えたとき[[クライアント]]は使われたのが最も古いものから削除していくべきです。 [SRC[>>2]]

[6] サイズ制限を超えたとき[[クライアント]]は値の最後の方からサイズに合うところまで削っていくべきです。
[SRC[>>2]

** IETF Cookie

[11] [[RFC 2109]], [[RFC 2965]] では新しい [[Cookie]] のために古い [[Cookie]]
を削除して[['''構わない''']]とされていましたが、その具体的な方法は [[LRU]]
を例示しているものの特に規定していませんでした。 [SRC[>>9, >>10]]

[12] また、[[利用者]]が削除する方法も用意[['''するべき''']]であるとされていました [SRC[>>9, >>10]]。
逆に [CODE(HTTP)@en[[[Max-Age]]]] や [CODE(HTTP)@en[[[Discard]]]]
の指示よりも延命させては[['''ならない''']] [SRC[>>10]] とも [[RFC 2965]] ではされていました。

[13] 古いからといって不要とは一概には言えないので、[[利用者]]がこの [[Cookie]]
は永く保存する、この [[Cookie]] はすぐに廃棄する、といった選択を行えるのが良いだろう、
ともされていました [SRC[>>9, >>10]]。

[15] サイズ制限はおおむね [[Netscape Cookie]] の規定 (>>3) と同じ値が採用されており
(細部は異なることがあります)、その値を最低限扱える[['''べきである''']] [SRC[>>14, >>16]]
とされていました。ただし、長さ制限を超過した場合に、長さにあわせてぶった切っては[['''ならず''']]、
超過した [[Cookie]] 全体を破棄しなければ[['''ならない''']]とされていました
[SRC[>>14, >>16]]。

[19] 逆に大量の [[Cookie]] の発行による [[DoS]] 攻撃の防御のために上限を設けることも提案されていました
[SRC[>>17, >>18]]。

[REFS[
- [7] [DEL[[[RFC 2109]]]] ([[廃止]]済み)
-- [9] [CSECTION@en[4.3.3  Cookie Management]]
-- [14] '''[CSECTION@en[6.3  Implementation Limits]]'''
-- [17] [CSECTION@en[6.3.1  Denial of Service Attacks]]
- [8] [[RFC 2965]]
-- [10] [CSECTION@en[3.3.3  Cookie Management]]
-- [16] '''[CSECTION@en[5.3  Implementation Limits]]'''
-- [18] [CSECTION@en[5.3.1  Denial of Service Attacks]]
]REFS]

* 関連

[31] 他の[[クッキー]]の削除方法については、[[クッキー]]の項を参照。

Historical Legal Sensitive Parent: [Help / License]

Edit

Page

Page name(s)