YD/T 2918-2015 标准解读

适用主体：中华人民共和国境内提供基于HTTP协议的Web服务的电信业务经营者、互联网信息服务提供者及第三方Cookie管理平台。
适用场景：
1. 用户身份认证与会话维持；
2. 个性化内容推荐与行为追踪；
3. 跨站请求伪造（CSRF）防护机制中的状态同步；
4. 多域或子域间共享用户状态信息。
排除条件：
- 非HTTP/HTTPS协议传输的数据交互；
- 本地存储（如localStorage、sessionStorage）替代方案；
- 纯客户端无服务端参与的状态管理逻辑；
- 浏览器扩展程序或插件内部使用的私有Cookie机制。

Cookie属性设置硬性指标：

属性	强制要求
Secure	所有含敏感信息的Cookie必须设置，仅限HTTPS传输
HttpOnly	会话类Cookie必须启用，禁止JavaScript访问
SameSite	默认值应为Strict或Lax，禁止无限制跨站发送
Domain	必须精确匹配业务域名，禁止使用顶级公共后缀（如.com）
Path	应限定至最小必要路径，避免全局暴露
Max-Age/Expires	会话Cookie建议不超过2小时，持久化Cookie最长不超过180天

操作流程：
1. 服务端生成Cookie前需校验用户身份合法性；
2. 通过Set-Cookie响应头下发，确保属性符合YD/T 2918-2015第5.2条；
3. 客户端每次请求携带Cookie时，服务端需验证签名或加密完整性（如HMAC）；
4. 用户注销或超时时，服务端必须主动清除对应Cookie并返回Set-Cookie: name=; Expires=Thu, 01 Jan 1970 00:00:00 GMT。
验收规范：
- 通过自动化工具（如OWASP ZAP、Burp Suite）扫描验证Secure、HttpOnly、SameSite属性是否生效；
- 使用网络抓包工具确认Cookie未在HTTP明文通道中传输；
- 模拟跨站请求验证SameSite策略是否阻断非法携带；
- 审计日志需记录Cookie创建、更新、删除操作的时间戳与操作主体。

电信运营商统一登录平台：
1. 用户登录后，服务端生成JSESSIONID Cookie，设置Domain=.10086.cn、Path=/、Secure、HttpOnly、SameSite=Lax；
2. 子业务系统（如账单查询、套餐办理）通过该Cookie识别用户身份，无需重复认证；
3. 会话有效期设为7200秒，超时自动失效并重定向至登录页。
电商平台个性化推荐：
1. 用户浏览商品时，前端通过AJAX请求将行为数据提交至服务端；
2. 服务端生成rec_pref Cookie，包含加密后的偏好标签，设置Max-Age=1209600（14天）、Secure、SameSite=Lax；
3. 后续请求中，服务端解析该Cookie动态加载推荐内容，且不用于身份认证。
金融App Web视图嵌入场景：
1. App内WebView加载银行页面，服务端下发auth_token Cookie，设置Domain=bank.example.com、Path=/finance、Secure、HttpOnly、SameSite=Strict；
2. 禁止该Cookie被主站或其他子域读取，防止信息泄露；
3. 每次交易操作前校验Cookie有效性及绑定设备指纹。

难点1：SameSite兼容性问题
部分旧版浏览器（如iOS 12 Safari）对SameSite=None支持异常，导致跨站Cookie丢失。
- 对策：服务端根据User-Agent动态判断，对不兼容客户端省略SameSite属性，并通过额外Token（如CSRF Token）保障安全。
难点2：多子域共享Cookie的Domain设置风险
错误设置Domain=.example.com可能导致user.example.com与admin.example.com间Cookie互访，引发权限越界。
- 对策：严格按最小权限原则分配Domain；对高权限系统（如后台管理）使用独立二级域名（如console.example.com），不共享主站Cookie。
难点3：Cookie过期时间与业务逻辑脱节
前端缓存用户状态但服务端Cookie已失效，导致操作失败但界面无提示。
- 对策：前端每次关键操作前调用/api/session/validate接口验证会话有效性；服务端返回401时前端强制跳转登录。
难点4：第三方嵌入场景下的Cookie拦截
iframe嵌入第三方内容时，现代浏览器默认阻止第三方Cookie，影响功能实现。
- 对策：改用PostMessage API进行跨域通信；若必须使用Cookie，引导用户手动开启“允许第三方Cookie”或采用OAuth 2.0授权码模式替代。

标准解读不等同于原文，以标准原文为准

更多解读