Cookieの概念

Cookieの用途

HTTPリクエストヘッダー

GET /sample_page.html HTTP/2.0
Host: www.example.org
Cookie: yummy_cookie=choco; tasty_cookie=strawberry

HTTPレスポンスヘッダー

HTTP/2.0 200 OK
Content-Type: text/html
Set-Cookie: yummy_cookie=choco
Set-Cookie: tasty_cookie=strawberry

HttpOnly：JavaScriptを介してCookieにアクセスすることを防ぎます。
```
Set-Cookie: id=q1w2e3; HttpOnly
```
Secure：HTTPSプロトコルを使用する際にのみCookieを送信します。
```
Set-Cookie: id=q1w2e3; Secure
```
SameSite：同一サイト/異なるサイトからのリクエストに対するCookieの送信ルールを定めます。SameSiteの基準は、「登録可能なドメイン」によって決まります。
- SameSiteの基準
  - ドメインがhttps://example.comの場合
    - ⭕ https://example.com/en-US/docs/ (ルート不問)
    - ⭕ https://api.example.com/en-US/ (サブドメインは問いません)
    - ⭕ https://example.com:8080 (ポートは問いません)
    - ❌ https://example2.com (登録可能なドメインが異なる)
    - ❌ http://example.com (プロトコルが異なる)
- SameSiteの値
  - Strict：同一ドメインからのリクエストのみにCookieを送信します。
    Set-Cookie: id=q1w2e3; SameSite=Strict
  - Lax：リンクを介したリクエストを含む、同一ドメインからのリクエストに対してCookieを送信します。
    Set-Cookie: id=q1w2e3; SameSite=Lax
  - None：任意のドメインからのリクエストに対してCookieを送信しますが、この場合はSecure属性が必須です。
    Set-Cookie: id=q1w2e3; SameSite=None; Secure

api.example.comでCookieを生成した場合