Cookie値をリクエスト間で転記しない
Cookie認証を使うAPIの検証では、開発者がSet-Cookieを確認し、その値を後続リクエストへ転記することがあります。ログインし直した場合やセッションが更新された場合には同じ作業が発生し、古い値を送ると検証結果を誤る原因になります。
新しいCookie機能では、Profileごとに固定Cookieと追跡するCookie名を登録できます。Header Relayは対象オリジンのSet-Cookieから登録済みCookieの値を取得し、次回以降の一致するリクエストへ送信します。
最終的なCookieヘッダーを一つにまとめる
固定値と追跡値は、順序が決まった一つのCookieヘッダーへ統合されます。同じProfile内で名前が重複した場合は固定Cookieを優先します。複数Profileに異なる名前があれば統合し、同じ名前があれば暗黙に選ばず競合として通知します。
URL Probeでは、リクエストを送る前に一致したProfileと最終的なCookieヘッダーを確認できます。管理画面とPopupでも現在値を確認でき、追跡値は個別またはProfile単位で消去できます。
ChromeのCookieストアとは分離する
Header RelayはChromeのCookieストアを参照または変更せず、cookies権限も要求しません。管理対象の値が一つ以上ある場合だけ、そのリクエストのCookieヘッダーを置き換えます。送信候補が0件の場合は、Chromeが生成したCookieヘッダーを変更しません。
追跡値は現在のブラウザセッション内だけに保持します。ブラウザまたは拡張機能の再起動、Profileの無効化、関連設定の変更、権限取消、手動消去によって削除されます。
Cookie検証で使える三つの機能
固定Cookie
有効なProfileから常に送信するCookie名と値を設定します。
追跡Cookie
Cookie名を登録し、一致するSet-Cookieレスポンスからセッション値を更新します。
送信前の確認
管理画面、Popup、URL Probeで現在値と最終的なCookieヘッダーを確認します。
明示したままにする境界
- 有効なProfile、設定済みのTarget Origin、除外されていないパスだけを対象にします。
- Cookie属性によるブラウザの送信条件は再現せず、Target OriginとExcluded Pathで範囲を決めます。
- Cookie値と元のSet-Cookie文字列を監査ログまたは分析イベントへ記録しません。
- 変換できない既存Cookieヘッダー設定は、確認できるよう移行時の問題として保持します。