HTTP हेडर का उपयोग करके स्थायी गैर-अवरुद्ध कुकीज़

पिछले हफ्ते, गरजा खबर अनुसंधान के बारे में तर्क है कि विश्लेषक फर्म KISSmetrics एक अनूठा मूल्य ETag शीर्षलेख (साथ साइटों पर उपयोगकर्ताओं को ट्रैक SPECA )। KISSmetrics से इनकार किया ETag के उपयोग और अंत में अध्ययन के लेखक (देखें। Upd। लेख के अंत में) मुकदमा कर दिया।

पिछले दशक की शुरुआत के बाद से उपयोगकर्ताओं को ट्रैक करने के लिए ETag ('एलिमेंट टैग' के लिए) का उपयोग किया गया है। यह भी ज्ञात है कि अंतिम-संशोधित ( युक्ति ) हेडर सैद्धांतिक रूप से एक अद्वितीय अद्यतन समय मूल्य का उपयोग करके उपयोगकर्ताओं को ट्रैक करने के लिए उपयोग किया जा सकता है।

यह सच है, मुझे ऐसा लगता है कि बहुत कम लोग जानते हैं कि लास्ट-मॉडिफाइड हेडर किसी भी स्ट्रिंग को वैल्यू के रूप में ले सकता है, यानी वैल्यू के लिए सही तारीख नहीं है।

इसे एक उदाहरण के साथ दिखाना सबसे अच्छा है। यह उदाहरण मेरे पृष्ठ का उपयोग करता है, जो अंतिम परिवर्तन की तारीख के लिए अलग-अलग मान सेट करता है। यदि आप दिनांक मान सेट करने के बाद पृष्ठ को ताज़ा करते हैं, तो आप देखेंगे कि ब्राउज़र इस मान को वापस भेजता है।

पहला निवेदन

सर्वर के लिए पहला अनुरोध इस तरह दिखता है। कुछ भी असामान्य नहीं होता है।

 GET / ट्रैकिंग-कुकी HTTP / 1.1
 स्वीकार करें: टेक्स्ट / html, एप्लिकेशन / xhtml + xml, एप्लीकेशन / xml; q = 0.9, * / *; q / =
 स्वीकार-चरस: ISO-8859-1, utf-8; q = 0.7, *; q = 0.3
 स्वीकार-एनकोडिंग: gzip, deflate, sdch
 स्वीकार-भाषा: en-US, en; q = 0.8
 संधि-नियंत्रण: अधिकतम-आयु = ०
 होस्ट: nikcub.appspot.com
 उपयोगकर्ता-एजेंट: मोज़िला / 5.0

सर्वर प्रतिक्रिया: टोकन स्थापित करें

सर्वर अंतिम-संशोधित के मूल्य के रूप में एक अद्वितीय पहचानकर्ता (इस मामले में, यूयूआईडी) का जवाब देता है और सेट करता है:

 HTTP / 1.0 200 ठीक है
 सर्वर: देव / १.०
 दिनांक: शनि, 19 अगस्त 2011 7:48:25 GMT
 सामग्री-प्रकार: पाठ / html;  charset = utf8
     अंतिम-संशोधित: d5ee23de-ca05-11e0-ab0b-c336b05508a0
 कैश-कंट्रोल: नो-कैश
 सामग्री-लंबाई: 1634

ध्यान दें कि आमतौर पर, यदि कैशिंग डेटा की इस पद्धति का उपयोग किया जाता है, तो मान समय के साथ एक मानक स्ट्रिंग होगा:

 अंतिम-संशोधित: Sat, 29 अक्टूबर 1994 19:43:31 GMT

इसके बाद कॉल

ब्राउजर अब इफ-मॉडिफाइड-एंग्री ( स्पेक ) हैडर का उपयोग करते हुए एक ही यूआरआई को हर कॉल पर यह टोकन भेजेगा। ब्राउज़र पूछता है: "अगर इस संसाधन के बदलने की तारीख इस तारीख से बाद में है, तो मुझे भेजें," लेकिन यह एक विशिष्ट पहचानकर्ता भेजता है, तारीख नहीं।

 GET / ट्रैकिंग-कुकी HTTP / 1.1
 होस्ट: nikcub.appspot.com
 कनेक्शन: जीवित रखें
 संधि-नियंत्रण: अधिकतम-आयु = ०
 उपयोगकर्ता-एजेंट: मोज़िला / 5.0
     यदि-संशोधित-कब से: d5ee23de-ca05-11e0-ab0b-c336b081880
 स्वीकार करें: टेक्स्ट / html, एप्लिकेशन / xhtml + xml, एप्लीकेशन / xml; q = 0.9, * / *; q / =
 स्वीकार-एनकोडिंग: gzip, deflate, sdch
 स्वीकार-भाषा: en-US, en; q = 0.8
 स्वीकार-चरस: ISO-8859-1, utf-8; q = 0.7, *; q = 0.3

यह तब भी काम करता है जब आप ब्राउज़र को बंद करते हैं और इसे फिर से खोलते हैं, और यह सभी प्रमुख ब्राउज़रों में काम करता है। ETag- आधारित विधि हमेशा काम नहीं करती है, खासकर अगर वेब प्रॉक्सी रास्ते में हैं, लेकिन लास्ट-मॉडिफाइड-आधारित हमेशा काम करती है।

समाधान

इन विधियों के साथ समस्या यह है कि वे उपयोगकर्ता और सॉफ़्टवेयर कुकी-विशिष्ट सुरक्षा सेटिंग्स को बायपास करते हैं। आप किसी भी कुकीज़ को ब्लॉक कर सकते हैं, लेकिन ETag, Last-Modifed और अन्य तरीके अभी भी आपको अपने ब्राउज़र को ट्रैक करने की अनुमति देंगे।

लास्ट-मॉडिफाइड स्पेसिफिकेशन में कहा गया है कि वैल्यू एक तारीख होनी चाहिए, लेकिन एक नोट के साथ कि अनसंकटेड घड़ियों के मामले में संभावित समस्याएं हो सकती हैं। अधिकांश पुस्तकालय कार्यान्वयन केवल इस मान को बिना जाँच के वापस भेज देते हैं, विशेष रूप से क्योंकि दिनांक पार्स करना एक वास्तविक सिरदर्द है। ब्राउज़र वही करते हैं, जो वर्णित समस्या की ओर ले जाता है। इसका मतलब है कि लास्ट-मॉडिफाइड कुकी की तरह काम करता है, लेकिन बिना किसी सुरक्षा जांच के।

मैं सभी ओपन सोर्स ब्राउज़रों को एक बग रिपोर्ट भेजूंगा ताकि वे सही तरीके से तारीखों को पूछ सकें। यह एक 100% समाधान नहीं है, क्योंकि आप अद्वितीय तिथियों का उपयोग करके उपयोगकर्ताओं को ट्रैक करना जारी रख सकते हैं। लेकिन, शायद, तारीख के अगले घंटे के लिए तारीख लाने या तारीख की वैधता के लिए अन्य बुनियादी जांच के रूप में एक समाधान मिल जाएगा। कैश को साफ़ करने और अक्षम करने के अलावा और कोई उपाय नहीं है, लेकिन कुछ ब्राउज़रों में ब्राउज़र सत्र के दौरान सशर्त GET अनुरोध अभी भी होते हैं।

आप इस समस्या को अपने पेज पर देख सकते हैं।

अपडेट : मैं जिस गोपनीय डेटा प्लगइन पर काम कर रहा हूं, पार्ले इस समस्या को हल करेगा, क्योंकि यह किसी भी तृतीय-पक्ष साइटों के अनुरोधों को अवरुद्ध करता है। मैं इसमें तिथि पार्सिंग जोड़ने के बारे में सोच रहा हूँ जब मुझे इस परियोजना पर फिर से काम करना शुरू करना होगा (प्लगइन्स थोड़ा कर सकते हैं, और कभी-कभी WebKit का एक कांटा बनाने और अपना खुद का सुरक्षित ब्राउज़र बनाने का प्रलोभन होता है) पर मुझे यही काम करना होगा।

Upd। KISSmetrics कंपनी अध्ययन के लेखक के खिलाफ एक मुकदमा नहीं दायर की है, और कानूनी फर्म और कंपनी के ग्राहकों, जो KISSmetrics अदालत के लिए दायर के खिलाफ एक जवाबी मुकदमा दायर किया गया है। अध्ययन के लेखक, अश्कान सोल्टानी का इन दावों से कोई लेना-देना नहीं है।