Мои куки действительно только HTTP? Флаг отсутствует в заголовке запроса Cookie

Question

Я сделал некоторые настройки, чтобы (наконец-то) мои куки были установлены только по HTTP.

"Кажись" на работу.

Я попробовал их с почтальоном, и у меня есть следующее:

Когда я попал на страницу входа:

В разделе "cookie" мой cookie с именем JSESSIONID выглядит только как HTTP (он имеет чек)

Когда я вхожу в зону входа, тот же результат...

Заголовки не дают мне больше деталей.

Затем,

Я проверяю это с Google Chrome. Я открываю панель инструментов разработчиков.

Я загружаю страницу входа.

В заголовках ответа я получаю заголовки

Set-Cookie: JSESSIONID=434434..... HttpOnly

Так что, это нормально (наверное).

Затем я перезагружаю страницу (или захожу).

Тогда проблема:

Заголовки ответа не получены.

Заголовки запроса приносят мой файл cookie (с тем же идентификатором, что и у предыдущего) без httponly, информации о хосте или любого другого значения cookie, которое я установил ранее.

На вкладке "cookie" я получаю только "Cookie-файлы запроса", а cookie-файл "Response" нет.

И файл cookie запроса не только для http

На моей вкладке ресурсов есть Cookie, только в виде HTTP и с предыдущими значениями, которые я установил.

Мой вопрос сейчас... Это действительно http-cookie? Или моя конфигурация установлена ​​неправильно?

Должен ли я всегда получать куки-файл ответа или куки-файл запроса должен быть всегда только http (в случае, если я пытаюсь установить его как http-only), или это поведение нормальное (или, по крайней мере, принято)?

Когда я пытаюсь напечатать свой файл cookie с использованием Javascript в обоих сценариях, я получаю нулевое значение в качестве ответа (что заставляет меня думать, что это правильно).

Идеи?

Answer 1

Клиент не отправляет атрибуты cookie, кроме имени и значения, обратно на сервер.

См. Также RFC6265 раздел 4.2.2 (выделено мое).

4.2.2. Семантика

Каждая пара cookie представляет собой cookie, сохраняемый агентом пользователя. Пара cookie содержит имя cookie и значение cookie, которые пользовательский агент получил в заголовке Set-Cookie.

Обратите внимание, что атрибуты cookie не возвращаются. В частности, сервер не может определить только из заголовка Cookie, когда истечет срок действия файла cookie, для каких хостов файл cookie действителен, для каких путей файл cookie действителен, или был ли файл cookie установлен с атрибутами Secure или HttpOnly.

Все ведет себя как указано.