[ruby-list:33151] Re: cgi.rb で cookie の encoding について

On Wed, 2 Jan 2002 02:04:08 +0900 
"TAKAGI, Hiromitsu" <[e-mail]> wrote:
> どうするのが理想的かについてですが、[ruby-list:33104]で述べた、規格に
> 従うために必要最低限の文字だけを自動エスケープするようにするというのは
> どうでしょうか？

とは言ったものの、この方法では

On Sat, 29 Dec 2001 15:57:37 +0900 
Beyond <[e-mail]> wrote:
> 'a|b' と '*a' の2つの値を、'|' と言う区切り文字で連結して cookie にする 
> script があり、その値が a%7Cb|*a だったとします。
> unescape すると、a|b|*a となり、'a' と 'b' と '*a' の3つの値となってしま
> います。

の問題は解決できませんか…。（%XXでエスケープされているものが一律に全
部アンエスケープされてしまいますからね。）

ちょっと横道にそれてこれまでのCGIライブラリとしてどうあるべきかの議論
から一旦離れて、Webプログラミング作法一般の話題として考えた場合、

> 'a|b' と '*a' の2つの値を、'|' と言う区切り文字で連結して cookie にする 
> script があり、その値が a%7Cb|*a だったとします。

こういう設計はよろしくないのではないでしょうか。なぜなら、まずこのデー
タ構造を設計した人はこのデータがcookie中で使用されることは知っているわ
けですよね（だから「%7C」というエスケープ方法を（なんとなく）採用した
のだろうし）。で、それを知っているのなら、cookieデータは一律に「%XX」
のアンエスケープがなされることも知っておくべきのはずではないかと。つま
り、例えばデータが
    *a|;|c
だったらどうしますか。「;」を「%3B」にエスケープするのはどの段階で行う
のでしょう？「|」で連結する前に「%3B」にするのは文脈上不自然ですよね？
「*a|;|c」をcookieのname=valueペアに渡す時点で行うべきですよね。デコー
ドする処理で、
    a%7Cb|*a|%3B|c
が来たときどのような手順でアンエスケープしますか。「|」で分割する前に
「%XX」をアンエスケープしてしまうとまずいわけですよね。「|」で分割した
後に初めて「%XX」をアンエスケープするというのは、HTTPリクエストヘッダ
における「%XX」エスケープの役割という観点ですごく不自然のように思えま
す。どうするべきかと言えば、「|」区切り構造によって必要になるエスケー
プには別の方法を用意するか、どうしても「%XX」を使うのであれば、
    a%7Cb|*a
をname=valueペアに渡す際に再度（必要最低限文字の）エスケープを行って、
    a%257Cb|*a
とすべきではないかと。（「|」がエスケープされていない点が現状のcgi.rb
とは異なる。）


高木 浩光＠独立行政法人産業技術総合研究所
http://staff.aist.go.jp/takagi.hiromitsu/