[11] Cookie 設定時の Path 属性は、Cookie が適用される URL の path 部分を前方一致で指定します。

仕様書

意味

[38] Path 属性はクッキーが適用される範囲となる path を指定します >>37。

[39] Path 属性が省略された場合、要求URLのディレクトリー部分が既定値として使われます >>37。

構文

[36] RFC 6265 における Path 属性の定義 >>35, >>43
 path-av           = "Path=" path-value
 path-value        = *<any CHAR except CTLs or ";">

構文解析

[8] 属性値が空文字列か最初の文字が / 以外なら、既定パス (>>2) を使わなければなりません >>7 (つまり属性値は無視されます)。 それ以外なら、属性値を使わなければなりません >>7。

既定値

[40] RFC 6265 によれば Path 属性の既定値は当該要求の URL の path のディレクトリーまでの部分です。

[15] Netscape の仕様では、 Path が省略された場合、Cookie が含まれる応答が帰ってきた要求の URL の path と同じとみなされます。 >>12

[2] クッキーの既定パスdefault-pathは、次のようにして決定します >>1。

  1. [3] 要求URLにパスがあればその値、なければ空文字列とします。
  2. [4] 空文字列か最初の文字が / でないなら、 / を返してここで終わります。
  3. [5] / が1つしかないなら、 / を返してここで終わります。
  4. [6] 最右の / の直前までの文字列を返します。

処理モデル

[42] Path 属性があれば、最後の Path 属性を構文解析して得られた値をクッキーのパスとしなければなりません。 なければ、要求URLの既定パス (>>2) をクッキーのパスとしなければなりません。 >>44

[19] 百分率符号化、非ASCII文字や URI RFC 上で認められていない文字の扱いについては従来仕様上明記されていませんでしたが、 RFC 6265 により特別な扱いはしないと明確化されました。

セキュリティーに関して

[9] HTML5 の document.cookie 属性に関する節の注記 (参考) には、次のような記述があります。

^[41] http://www.whatwg.org/specs/web-apps/current-work/#dom-document-cookie

歴史

[20] この属性は Netscape Cookie で当初より規定されていました。

[13] Cookie が妥当であるか判断する際、 Domain が一致すると判断されると次に Path の比較が行われます。 要求しようとしている URL の path の部分の前方が Path 属性の値と一致していれば、 Path 属性は一致したものとみなされます。 >>12

[14] この一致を調べるに当たって path は不透明なものとして扱われます。つまり、 / による階層の区切りは考慮されません。 Path 属性の値 /foo は、 /foo/bar.html だけではなく /foobar にも一致します >>12。

[16] 百分率符号化の扱いは仕様上明記されていません。

[17] http://foo.example のように path がない (厳密に言えば path が空文字列である) URL もありますが、HTTP 要求メッセージ上の Request-URI は / になります。これに一致する Path は / です。/ はそのホストのすべての URL に一致することになります。

[18] Path 属性の値が空文字列である時の扱いは明記されていません。

IETF Cookie

[21] 後に IETF で標準化された Set-Cookie: (RFC 2109)、 Set-Cookie2: (RFC 2965) でも Netscape と似たような定義となっています。

ただ IETF の仕様は Netscape Cookie とは互換性がありません。 属性の値はそのまま記述するのではなく、 字句tokenまたは引用文字列quoted-stringとする必要があります。

[28] RFC 2109 では、Path が省略された場合、当該要求の path の一番最後の / の直前までが既定値とされていました >>25。

[29] RFC 2965 では、 Path が省略された場合、当該要求の path の一番最後の / までが既定値とされていました >>26。

[32] RFC 2109、RFC 2965 では、Path が request-URI の接頭辞でない場合にはその Cookie を蓄積storeしてはならないとされていました >>31, >>30。[33] RFC 2109、RFC 2965 の定義では「request-URI」は path 部分のことです。
  • [22] RFC 2109 (廃止済み)
    • [24] 4.2.2 Set-Cookie Syntax
    • [25] 4.3.1 Interpreting Set-Cookie
    • [31] 4.3.2. Rejecting Cookies
  • [23] RFC 2965
    • [27] 3.2.2 Set-Cookie2 Syntax
    • [26] 3.3.1 Interpreting Set-Cookie2
    • [30] 3.3.2 Rejecting Cookies

関連

[34] RFC 2109、RFC 2965 では利用者エージェントが返送する時に Cookie: に $Path 属性として含めることになっていました。

メモ

[10] Javascriptのdocument.cookieのpath ( 版) http://www.synck.com/contents/technote/technote_1230518860.html

document.cookieで四苦八苦しておりまして、Safari、Firefox、Chromeではちゃんと動くのにIE6とIE7では動かないという事態に直面した際の話です。

端的に申しますとdocument.cookieのpathはIEに関してはフォルダ単位でしか動きません。 そのほかのモダンブラウザではちゃんと動きます。ほとほとIEには困ったものです。

なので、location.pathnameを直接pathに通すとcookieが書き込まれないという事態に陥る

[45] Classic Load Balancer のスティッキーセッションの設定 - Elastic Load Balancing (, ) https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/classic/elb-sticky-sessions.html

Elastic Load Balancing の URI はアンダースコア文字を %5F とエンコードします。Internet Explorer 7 などの一部のブラウザーでは、アンダースコアが %5F として URI エンコードされることが求められるためです。