쿠키 파서

Set-Cookie HTTP 헤더와 document.cookie JavaScript 문자열을 파싱합니다. 여러 쿠키를 한 번에 파싱할 수 있습니다.

네. 각 쿠키의 HttpOnly, Secure, SameSite(Strict/Lax/None), Path, Domain 속성을 모두 표시합니다.

네. Set-Cookie 모드에서는 한 줄에 하나의 헤더를 붙여넣으세요. document.cookie 모드에서는 문자열의 모든 쿠키가 파싱됩니다.

SameSite=Strict는 같은 사이트 내 탐색에서만 쿠키를 보냅니다 - 완전한 CSRF 방어지만 외부에서 들어오는 링크에는 쿠키가 가지 않습니다. Lax(브라우저 기본값)는 최상위 GET 탐색에는 쿠키를 실어 보내서 외부 링크에서도 로그인 세션이 동작하게 하면서 대부분의 CSRF를 막습니다. None은 제한을 끄지만 Secure가 필수이며, 아니면 브라우저가 거부합니다 - 크로스 사이트 iframe과 결제 흐름에 필요한 조합이 바로 이것입니다.

Expires나 Max-Age가 없는 쿠키는 세션 쿠키입니다: 메모리에만 존재하고 브라우저 세션이 끝나면 사라집니다(다만 최신 브라우저는 크래시 후 복원할 수 있습니다). Expires는 절대 기한, Max-Age는 초 단위 상대 기한이며 둘 다 있으면 Max-Age가 이깁니다. remember-me 로그인과 장기 분석 ID가 재시작을 견디는 것은 영구 쿠키 덕분입니다.

브라우저가 강제하는 이름 수준의 보증입니다. __Secure-는 https 출처와 Secure 속성을 요구합니다. __Host-는 더 엄격합니다: Secure, Domain 속성 없음(호스트 전용), 그리고 Path=/ - 덕분에 __Host- 접두사 쿠키는 서브도메인이 덮어쓸 수 없어 정확히 그 사이트에 고정됩니다. 지원하지 않는 브라우저는 이 접두사를 단순한 이름 문자로 취급합니다.

RFC 6265는 브라우저가 쿠키당 최소 4096바이트, 도메인당 최소 50개의 쿠키를 수용하도록 요구합니다. Chrome은 도메인당 약 180개, 전체 몇 천 개 수준으로 제한하며 Safari는 실무에서 더 엄격합니다. 쿠키는 도메인으로 가는 모든 요청에 따라다니기 때문에 쿠키 저장이 무거우면 트래픽이 눈에 띄게 느려집니다 - 대형 사이트가 상태를 localStorage나 서버 측 세션으로 옮기는 이유입니다.

HttpOnly는 쿠키를 JavaScript의 document.cookie에서 숨겨 주입된 XSS 스크립트가 읽지 못하게 합니다 - 세션 쿠키에는 항상 설정하세요. Secure는 전송을 HTTPS 연결로 제한해 평문 HTTP에서의 유출을 막습니다. 둘 다 저장된 쿠키를 암호화하지는 않으며; Set-Cookie 헤더에 한 줄 넣는 보강 조치입니다.