Cookie

Cookie とは

Cookie は、Web サーバーがブラウザに保存を指示し、以降のリクエストでブラウザが自動送信する小さなデータ片 (最大 4KB) である。HTTP はステートレスなため、Cookie でセッションを維持する。

Cookie の属性

Cookie の属性を以下にまとめる。

属性	説明
HttpOnly	JS からアクセス不可 (XSS 対策)
Secure	HTTPS でのみ送信
SameSite	クロスサイトでの送信を制御
Max-Age	有効期限 (秒)
Path	Cookie が送信されるパス
Domain	Cookie が送信されるドメイン

Cookie の設定

Cookie の設定を図で示す。

Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Strict; Max-Age=86400; Path=/

Cookie vs localStorage vs JWT

Cookie と localStorage vs JWT の違いを以下にまとめる。

観点	Cookie	localStorage	JWT (Bearer)
送信	自動	手動 (JS)	手動 (JS)
XSS 耐性	HttpOnly を付ければ JS から読めない	JS から読めるため持ち出される	保存先が JS から読めるため持ち出される
CSRF 耐性	自動送信されるため SameSite の指定が必要	自動送信されないので影響を受けない	自動送信されないので影響を受けない
サイズ	4KB	5MB	保存先の上限に従う。ヘッダーへ載せるため、サーバー側のヘッダー上限にも収める
サーバーレス	ドメインをまたぐと設定が増える	単体では認証に使えない	検証に状態を持たずに済み相性が良い

SameSite の値

SameSite の値を以下にまとめる。

値	クロスサイト送信	用途
Strict	送信しない	銀行、管理画面
Lax	GET のみ	一般的な Web アプリ (デフォルト)
None	送信する。Secure の指定が必須	クロスサイト API

サーバーレスでの推奨

サーバーレス API では Cookie よりも JWT (Bearer トークン) が推奨。Cookie はステートフルなセッション管理が必要だが、JWT はステートレスで Lambda と相性が良い。

Cookie の関連書籍も参考になる。