Cookieのexpireの扱いがブラウザによってちょっと異なる件

弊社のアプリが動かないという残念な問い合わせがいくつかあったので、1日ばかりずっと悶々と調べてみたりした。結局Cookieの挙動によるものだったんだけど、Cookieの有効期限の挙動がブラウザごとに違っているらしく、ちょっとハマッたので備忘録としてまとめてみた。

Cookieの仕様のおさらい

Cookieは、HTTP State Management Mechanism(HTTP 状態管理メカニズム)というタイトルで、RFC2965で定義されているみたいだが、各種ブラウザの実装は、Cookieを導入したNetscape Navigatorの実装に基づいているようだ。

ここでは、Cookieの仕様についての説明は割愛するが、超簡単にまとめると以下の通り。

サーバ
- クライアントに保持してもらいたい状態情報を、HTTPレスポンスのSet-Cookieヘッダに乗せて送出する

Set-Cookie: NAME1=VALUE1; expires=DATE; path=PATH; domain=DOMAIN_NAME;
Set-Cookie: NAME2=VALUE2; expires=DATE; path=PATH; domain=DOMAIN_NAME;

クライアント
- サーバから送られてきた状態情報を（有効期限内であれば)保持し、次回以降のリクエストにおいて、HTTPリクエストの"Cookie:"ヘッダに乗せて送出する

Cookie: NAME1=VALUE1; NAME2=VALUE2 ...

ここらへんは、Webサイトを構築するエンジニアは必須知識だと思う。

まずはCookieの動きを確認する

Net Applicationsによれば、2010年12月のブラウザ3大シェアは下記の通り。ということで下記3つのブラウザを調査対象とする。ちなみにクライアントはVista。あまり定評が良くないVista。

対象ブラウザ
- Internet Explorer
  - Internet Explorer 8(8.0.6001.18999)
- Firefox
  - Firefox 3(3.6.13)
- Chrome
  - Google Chrome(8.0.502.237)

ここで、検証に利用する予定のSet-Cookieするサーバ側のアプリケーションをさらしておく(PHPerですみません)。有効期限が600秒(=10分間)のtestcookieという名前のCookieを、phpのsetcookie関数で発行する単純なプログラムである。

[cookieを生成するサーバアプリケーション] http://192.168.1.101/setcookie.php
  1 <?php
  2     $currentTime = time();
  3
  4     $cookieName   = "testcookie";
  5     $cookiePath   = "/";
  6     $cookieDomain = $_SERVER['SERVER_NAME'];
  7     $cookieValue  = strval($currentTime);       // value is issue time (Unix Time)
  8     $cookieExpire = strval($currentTime + 600); // expire is 10 minutes after issuing cookie
  9
 10     setcookie($cookieName,
 11               $cookieValue,
 12               $cookieExpire,
 13               $cookiePath,
 14               $cookieDomain);

ついでにサーバ情報はこんな感じ。

ホスト
- 192.168.1.101 (プライベートIPでごめんなさい)
OS
- Linux ubuntu 2.6.24-19
各種アプリ
- PHP 5.2.4-2
- Apache/2.2.8 (Ubuntu)

ここでは、上記cookie発行プログラム(http://192.168.1.101/setcookie.php)にリクエストを送り、そのレスポンスヘッダとブラウザ側に蓄積されるcookie情報をブラウザごとに観察してみる。

Internet Explorer

通常のIEだとヘッダとかcookieの参照とか非力すぎて死ぬ。ヘッダ情報にはieHTTPHeaders、Cookieの参照にはInternet Explorer Developer Toolbar を導入した。Internet Explorer Developer ToolbarはMS純正。

ヘッダ情報

cookie情報

予想通り、Dateヘッダの10分後のExpireが設定されているtestcookieが発行され、それがブラウザにも保存されているようだ。当たり前か。

FireFox

FireFoxでヘッダの情報を確認するには、Live HTTP HeadersのAddonを導入。

ヘッダ情報

cookie情報

予想通り、Dateヘッダの10分後のExpireが設定されているtestcookieが発行され、それがブラウザにも保存され（略

Chrome

Chromeは、Ctrl+Shift+i でcookieやらヘッダ情報やら全て見える。デフォルトで使えて便利便利。

ヘッダ情報

cookie情報

予想通り、Dateヘッダの10分後のExpireが設定されているtestcookieが発行され（略。しつこいですね、わかります。

クライアントとサーバの時刻を変えてみる

クライアントとサーバの時刻が同じとき(=同期しているとき)、CookieのExpire値の処理はブラウザを変えても変化はなかった。クライアントの時刻がサーバと同期されていない場合はどうだろうか？サーバの時刻が不正な場合なんて言語道断なので、クライアントの時刻を1時間早めた場合で検証してみる。検証内容は先ほどと同様で、10分間の有効期限を設定したcookieを発行したときのブラウザごとの挙動を確認してみる。