[ruby-list:33105] Re: cgi.rb で cookie の encoding について

青山です。

On Sat, Dec 29, 2001 at 02:32:00AM +0900,
Beyond <[e-mail]> wrote:

> まず確認しておきたいのですが、「cookie の文字列を escape すべきか否か」
> では無く、「ライブラリが、cookie の文字列を escape すべきか否か」を問題
> にしています。

了解しました。すべきか否か、という二者択一はちょっときついですが、した
方がいいか、しない方がいいか、という二者択一なら、した方が良い、と思い
ます。

理由としては、先にあげたように、現在はまだ、これに従え、という存在の文
書は無いものの、w3c, ms などが must という、推奨、以上に強い表現を使っ
ており、また、Perl のライブラリでも escape している、という事です。

そして、ライブラリとしては、そういう将来標準となりそうな動きがかなりはっ
きり見えている場合には、それを採用し、広める、というのも役割のひとつで
はないかと思っていますので、すべきか否か、の二者択一ならば、私としては、
すべき、と判断いたします。

> とのことですが、cgi.rb の動作は、この仕様にはしたがっておりません。
> 
> １． expire= に与える文字列は escape されていない
> ２． name= に与える文字列は、escape されていない場合がある
> 
> １はともかくとして、２の場合は、
>   cookie = CGI::Cookie::new( {"name" => "name", "value" => [ p1, p2 ] )
> とした時で、
>   escape( value.to_s )
> では無く、
>   escape( p1 ) + '&' + escape( p2 )
> となります。
> 
> つまり、「英数字と -_.」以外の文字が HTTP ヘッダに渡される場合があるので
> す。

1. は見落しですね。ご指摘ありがとうございます。2. に関しても、個人的な
判断による拡張であるので、問題がある事は否定いたしません。

Cookie は、name=value の対であり、１つの name に対して複数の value を
渡す場合には、本来は、ユーザーが自分で連結し、１つの value とすべきで
ある可能性が高いです。

現在の cgi.rb では、HTTP_COOKIE も、QUERY_STRING と同じく、CGI の取り
決めの中にあると判断し、GET, POST などと同じような扱いを行っています。

特に、GET の場合には、URL として引き渡されますので、GET で問題がない表
現というのは、かなり信頼できるのではないか、と判断しています。

そこで、複数の value がある場合には、& でつなぐ、という事にしたわけで
すが、先に書いたように、これは個人的な拡張でしかありませんので、もし、
ライブラリにはまかせてられない、という事であれば、ユーザー側で行って頂
いて良いと思います。

# セット時
values = ["p1", "p2", "p3"]
value = values.join("|")
cgi.out("cookie"=>value){}

# ゲット時
values = cgi.cookies['name'][0].split("|")

このような、ユーザー側での独自の複数の値の取り扱いに関して、cgi.rb は、
なんら障害を与える事は無いと思われますので、区切り文字は | でも : でも
何でも自由に利用して頂ければ良いと思います。

また、このように value を１つにして頂ければ、& での連結も行われないの
で、cgi.rb による独自拡張も影響を与える事はありません。


-- 
青山 和光 Wakou Aoyama  <[e-mail]>