0

前回アクセス日時から10分経過したかどうかで条件分岐したいのですが、下記何れが(もしくは他の方法が)良いでしょうか?
・それぞれメリットデメリット等あれば教えてください

案1.IDだけをクッキー格納
・初回アクセス時にID発行してクッキーへ格納
・IDとアクセス日時はDBにも格納
・次回アクセス時にID照合して、DBの格納値と現在時刻で計算

案2.IDとアクセス日時をクッキーへ格納
・初回アクセス時にID発行してクッキーへ格納
・IDとアクセス日時をクッキーへ格納
・IDはDBにも格納
・次回アクセス時にID照合して、クッキーの格納値と現在時刻で計算

Q.
・わざわざDBアクセスするより、クッキー使用できる場合はクッキーを使用した方が良い?
・クッキーは拒否される恐れがある?
・クッキー拒否された場合は(クライアントから)ID自体を取得出来ないため、IDをDB格納していたとしても無意味?
・例えば「Web Storage」を使用すれば必ず取得できるのでしょうか?

2 件の回答 2

4

何がメリット・デメリットになるのかは、あなたの作成するサイトの仕様・要件(あるいは「主観」)によって変わるものなので、クッキーの持つ技術的特性と、あなたのサイトがなぜ「10分経過したかどうかで条件分岐したい」のかをよく考えて判断してください。

  1. サーバからブラウザに送信されたクッキーはブラウザ内に保持される

    下の3.とも関連しますが、中身はユーザに丸バレで改ざんも超簡単です。(技術力なんてものは全く不要でブラウザの開発者機能を使うだけで小学生でも簡単に改変できます。)もちろん削除することも簡単です。

  2. ブラウザは同じサーバにリクエストを送信する際に同一サーバ用のクッキーを全部送信する

    従って、クッキーを手軽なデータ保管場所として安易に多用してサイズが膨らんでいくと、ページアクセスのスピードが体感ではっきりわかるほど遅くなることもあります。例えば前回アクセス時刻なんて使用しない別ページのアクセスの際にも(同一サーバと判定される)全てのクッキーが送信されます。クッキーを全く使用しない静的リソース(画像やらCSSやら)の場合にも、毎回全てのクッキーが送信されます。

  3. サーバが参照するクッキーの値はクライアント(ブラウザ)が送信したものであり、サーバから送信した値とは限らない

    極端な話、ブラウザではなく全然別のアプリがブラウザのふりをしてHTTPリクエスト中にブラウザが送信するのと全く同じ方法でクッキーを仕込んだ場合、サーバサイドではその真贋を確認する方法はありません。(電子署名なり暗号化なりはできるでしょうが、そこまでしてクッキーを使う意味は殆どないでしょう。)


と言うわけで Q の内容を見直してみると。

・わざわざDBアクセスするより、クッキー使用できる場合はクッキーを使用した方が良い?

まさに上記のクッキーの特性を見て判断してくださいと言うところです。ページアクセスのスピードが問題になる程クッキーの量が膨らむ恐れはなくて、ユーザが前回アクセス日時を改ざんしても何も困らない、と言う条件が成り立つならクッキーのお手軽さは魅力的な選択肢かもしれません。

・クッキーは拒否される恐れがある?
・クッキー拒否された場合は(クライアントから)ID自体を取得出来ないため、IDをDB格納していたとしても無意味?

後者に書かれている通りです。クッキーを拒否されたら、クッキーに保存したIDで同一クライアントであることを判別することができないので、「ID」を利用する全ての処理に意味がなくなってしまいます。

・例えば「Web Storage」を使用すれば必ず取得できるのでしょうか?

Web Storageもクッキーと同様ブラウザ側に保存されるものですから、改ざん等の恐れは常にありますし、特定のページをアクセスした時に中身を自動的に送信してくれるという機能はないので、なんらかのJavaScriptのコードをどこかに仕込んでおく必要が出てきます。クッキーでなければ何でも良いんだ、と言う意味不明の基準でない限り、あまりメリットになる状況はないように思います。

1
  • クッキはスピードへ影響を及ぼす場合もあるのですね。初めて知りました。Web Storageの件は、クライアント側で保存するという意味において懸念すべき点は結局同じですね。納得しました
    – re9
    2017年2月18日 9:06
1

クッキーは改ざんされる恐れがあるので、
案2の場合、10:00にアクセスして、クッキーの値のアクセス日時を9:50とかにすると、
10分経ってないのに10分経ったことになってしまったりします。

案1にすると、アクセス日時の改ざんはできなくなります。
でも、10:00にアクセスして、10分経ってからクッキーを削除してアクセスされると、
10分経ったのに10分経ってないことになります。

クッキー削除は対処しようがないですが、
アクセス日時改ざんを防ぐために、
案1にするか、
クッキーを改ざんされないように、
ID、アクセス日時を暗号化したうえでクッキーに保存
が良いと思います。

1
  • 確かに、逆(自分がユーザ)の立場で考えてみれば、「絶対に削除できないクッキーを発行されたりする仕様」だとしたら問題だなと思いました。ブラウザへ保存する場合には、削除される可能性は常に考慮しなければいけない、ことが分かりました
    – re9
    2017年2月18日 9:13

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。