[ruby-list:33120] Re: cgi.rb で cookie の encoding について

In article <20011229013722.1869.qmail@localhost>,
  Wakou Aoyama <[e-mail]> writes:

> > まず確認しておきたいのですが、「cookie の文字列を escape すべきか否か」
> > では無く、「ライブラリが、cookie の文字列を escape すべきか否か」を問題
> > にしています。
> 
> 了解しました。すべきか否か、という二者択一はちょっときついですが、した
> 方がいいか、しない方がいいか、という二者択一なら、した方が良い、と思い
> ます。
> 
> 理由としては、先にあげたように、現在はまだ、これに従え、という存在の文
> 書は無いものの、w3c, ms などが must という、推奨、以上に強い表現を使っ
> ており、また、Perl のライブラリでも escape している、という事です。
> 
> そして、ライブラリとしては、そういう将来標準となりそうな動きがかなりはっ
> きり見えている場合には、それを採用し、広める、というのも役割のひとつで
> はないかと思っていますので、すべきか否か、の二者択一ならば、私としては、
> すべき、と判断いたします。

個人的にはぜんぜん標準になりそうには見えないんですが、それはそれとして、
まず、次の理由により cgi.rb の現在の挙動を変えるべきでないとは思います。

* 既存の cgi.rb が発行した cookie を変更後の cgi.rb が受け取ると値が変
  わってしまう。

* w3m のように cookie が client を通過する時に変換が行なわれることがあ
  り、これを安全に避けるノウハウをライブラリが提供してくれると嬉しい。

というわけで、二者択一なら escape するというのは悪くない選択だと思いま
す。しかし、この件は実際には二者択一ではないので、他の選択肢もあります。

他の形式の(しかし RFC には従っている) escape 手法を扱えないのは cgi.rb
の欠点であることには違いありませんから、他の形式「も」扱えるように拡張
するのがいいんじゃないかと思います。具体的には

> そこで、複数の value がある場合には、& でつなぐ、という事にしたわけで
> すが、先に書いたように、これは個人的な拡張でしかありませんので、もし、
> ライブラリにはまかせてられない、という事であれば、ユーザー側で行って頂
> いて良いと思います。

この拡張を一般化し、Ruby のオブジェクトと(生の)cookie の相互変換部分を
自由に差し替えられるようにすれば実現できます。そしてデフォルトで既存の
escape と同様な変換を設定しておけば互換性も確保できます。

# IRC でもだれかが述べてましたが、escape/unescape 用の proc を設定でき
# るようにするだけで充分だと思います。

例えば、Set-Cookie2: name=p1|p2|p3; Version=1 は RFC 2965 (と
RFC 2616)になんら反するところのない形式です。そして、仮に、この形式を
用いる既存のシステムを Ruby script で差し替えるという状況を考えると、
残念ながら cgi.rb の cookie では扱えません。そのような状況は扱わないと
いうのも一つの立場ですが、そういう立場をとるんでしょうか?
-- 
[田中 哲][たなか あきら][Tanaka Akira]
「ふえろ! わかめちゃん作戦です$(C⊇」(Little Worker, 桂遊生丸)