Какие знаешь форматы cookie?

Форматы Cookie в веб-разработке и тестировании

Cookie (куки) — это небольшие текстовые данные, которые веб-сервер отправляет браузеру для сохранения на стороне клиента и последующего возврата при новых запросах. Они играют ключевую роль в управлении состоянием веб-приложений, особенно в таких областях, как аутентификация, отслеживание сессий, персонализация и аналитика. Как QA Engineer, я должен понимать их форматы для эффективного тестирования безопасности, функциональности и совместимости приложений.

Основные форматы cookie и их структура

Наиболее распространённый и базовый формат — это HTTP Cookie, представляющий собой простую строку ключ-значение, передаваемую в заголовках HTTP.

Set-Cookie: sessionId=abc123; Expires=Wed, 21 Oct 2025 07:28:00 GMT; Path=/; Secure; HttpOnly

Ключевые атрибуты cookie в этом формате:

• Имя и значение (Name=Value): Основная пара данных.
• Expires/Max-Age: Определяет срок жизни cookie.
• Domain и Path: Ограничивают, к каким доменам и URL пути cookie принадлежат.
• Secure: Указывает, что cookie должен передаваться только по HTTPS.
• HttpOnly: Запрещает доступ к cookie через JavaScript (важно для защиты от XSS).
• SameSite: Контролирует отправку cookie в кросс-сайтовых запросах (значения: Strict, Lax, None).

JSON-формат внутри cookie

Часто для хранения более сложных структур данных значение cookie само может быть строкой в формате JSON. Это особенно распространено в современных фронтенд-фреймворках и SPA (Single Page Applications).

// Пример cookie, где значение представляет собой JSON-строку
document.cookie = "userPrefs=" + JSON.stringify({ theme: 'dark', lang: 'ru', notifications: true }) + "; path=/";

При тестировании необходимо проверять корректность сериализации/десериализации этого JSON, его устойчивость к повреждённым данным и соблюдение лимита размера (обычно 4KB на cookie).

Специализированные форматы для аутентификации

Для задач безопасности и аутентификации используются более сложные форматы:

• JWT (JSON Web Tokens): Часто хранятся в cookie (обычно в виде cookie access_token или id_token). JWT — это самостоятельный стандартный формат (RFC 7519), состоящий из трёх частей: Header, Payload и Signature, объединённых точками.

// Пример JWT в cookie (очень длинная строка)
Set-Cookie: access_token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvbiBEb2UiLCJpYXQiOjE1MTYyMzkwMjJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c; Secure; HttpOnly; SameSite=Strict

Тестирование таких cookie включает проверку валидации сигнатуры, сроков действия (exp claim), корректности аудитории (aud claim) и устойчивости к подделке.

• Сессионные идентификаторы (Session IDs): Простые уникальные строки (например, sid=ae4gF8j3k), которые сервер сопоставляет с данными сессии в своей памяти или базе данных. Тестирование фокусируется на рандомизации ID, безопасной генерации и очистке устаревших сессий.

Формат "Cookie-файла" браузера

На стороне клиента браузеры хранят cookie в различных внутренних форматах файлов (например, SQLite базы данных в Chrome, текстовые файлы в Firefox). Для тестирования, особенно в автоматизации (Selenium, Playwright), важно знать, как программно управлять cookie через API, не завися от внутреннего формата файла.

# Пример работы с cookie через Selenium WebDriver (Python)
from selenium import webdriver

driver = webdriver.Chrome()
driver.get("http://example.com")

# Получение всех cookie
all_cookies = driver.get_cookies()
print(all_cookies)  # Вывод списка словарей Python

# Добавление нового cookie
driver.add_cookie({"name": "test_cookie", "value": "12345", "domain": "example.com"})

Практическое значение для QA Engineer

Понимание форматов cookie позволяет:

1. Проводить глубокое тестирование безопасности: Проверять атрибуты HttpOnly, Secure, SameSite, тестировать устойчивость к инъекциям, проверять сроки действия токенов.
2. Автоматизировать сложные сценарии: Программно устанавливать, читать и модифицировать cookie для тестов предварительной авторизации или эмуляции различных состояний пользователя.
3. Тестировать совместимость и кросс-браузерность: Убеждаться, что cookie правильно работают в разных браузерах, которые могут иметь различия в обработке атрибутов (особенно SameSite).
4. Анализировать проблемы: Читать и интерпретировать cookie при анализе логов, ответов сервера (заголовок Set-Cookie) или данных инструментов разработчика (DevTools) для точного определения причин дефектов, связанных с сессиями или авторизацией.

Таким образом, знание форматов cookie — это не просто теоретическая информация, а практический инструмент для построения эффективных стратегий тестирования веб-приложений, особенно в контексте безопасности и управления пользовательским состоянием.