用六項檢查清單稽核 Cookie 設定

前言

實作導向的清單，逐一檢視應用程式中的 Set-Cookie：作用範圍、存活時間、前綴與跨網站行為。文章也附上一支能在 CI 中標記風險 Cookie 的小腳本。

現場筆記

在處理 Cybersecurity 問題的過程中，反覆看到的幾個模式：

• 簡單的版本撐過了每次重構，聰明的版本沒有。
• 邊做邊寫的文件，比事後補寫的耐用得多。
• 同一個問題第二次出現時，它就已經是模式了——幫它命名吧。

可以直接抄的檢查清單

• 問題可以用一行指令重現。
• 修正附帶一個沒有它就會失敗的測試。
• 作者本人以外的人也在自己的機器上跑過。

結語

寫下未來的自己真的會讀的短版本——這就是全部的訣竅。