質問: あるサイトにて、セキュリティ設定を行うために、「.htaccess」にて以下の設定を行いました。 【施した設定】 php_flag session.cookie_secure On php_flag session.cookie_httponly On クロームにて、ヘッダーを確認すると以下のとおりになっておりました。 **【Response Headers】** Set-Cookie:PHPSESSID=s8fecieplcb7snku9vd3kmpsv7; path=/; secure; HttpOnly 恐らく「secure」「HttpOnly」が付与されているので、問題ないかと思います。 ここからが、質問なのですが 【Requset Headers】 Cookie:AMCVS_D97123FB592BE4310A495DEF%40AdobeOrg=1; PHPSESSID=5qm81e9p8bct8jr8eh4bub5fj5; AMCV_D97123FB592BE4310A495DEF%40AdobeOrg=102365995%7CMCIDTS%7C17439%7CMCMID%7C13835872389594888339130894004617875991%7CMCAID%7CNONE%7CMCOPTOUT-1506678282s%7CNONE%7CvVersion%7C2.2.0%7CMCAAMLH-1507267954%7C11%7CMCAAMB-1507275882%7Chmk_Lq6TPIBMW925SPhw3Q%7CMCSYNCSOP%7C411-17446; s_nr=1506672582673-Repeat; s_cc=true となっており、「secure」「HttpOnly」が付与されているかが、分かりません。 どうなっていれば、secureおよびHttpOnly属性が付与されていると判断すればよろしいでしょうか?
回答: Cookieの`secure`や`httponly`は、あくまで**サーバからクライアントへの指示**なので、`Set-Cookie:`にしかなく、クライアントが送る`Cookie:`には存在しません。 RFC 6265の和訳