WEB / CASE two-state-owners
Logout oldu; cookie neden hâlâ var?
Cookie jar ile server session store’unun aynı state olmadığını rotation, expiry ve logout kanıtlarıyla çöz.
Gözlem dosyası
Öğretim alias’ı sid-b browser cookie jar’ında görünüyor. Sentetik store kaydı sid-b için revoked diyor. Protected request sonucu authenticated context kurulmadı. Cookie alias’ı credential değildir; gerçek secret bu dosyada yoktur.
State sahiplerini ayır
Cookie’nin bulunması server’ın session’ı kabul ettiğini göstermez. Store invalidation server-side state’i değiştirir. Browser cleanup ise uygun scope’taki cookie’yi sona erdiren response’un alınması ve uygulanmasıyla ilgilidir. İkisi ayrı gözlemlenir.
Normal expiry veya logout sonrası kalan cookie bir güvenlik olayı olduğunun kanıtı değildir. İncelenecek soru, revoked/expired session ile protected action’ın tekrar kabul edilip edilmediğidir. Başka aktif session’lar için aynı sonucu varsayma.
Düzeltme ve regression
Logout sonrası store invalidation’ı ve browser cleanup’ı ayrı kontrol et; süresi dolmuş alias ile request’in authentication-required dalına gittiğini sabit fixture’da doğrula. Bir cookie ismini değiştirmek server rotation veya revocation yapıldığı anlamına gelmez.
SIRA SENDE
Bu hikâyeyi sen çöz.
Sonucu tahmin et, kanıtın sınırını bul ve nedenini kendi cümlenle anlat.
sid-b jar’da duruyor; store revoked diyor ve protected request authenticated context kurmuyor. İki state sahibini nasıl ayırırsın?
Sentetik vaka dosyasından seçilen gözlemler
- teaching alias
- sid-b
- browser cookie jar
- alias present
- server session store
- revoked
- protected request
- no authenticated context
- Cookie durduğu için server session hâlâ aktiftir.
- Store revoked olduğu için browser cookie cleanup da tamamlanmıştır.
- Server invalidation gözleniyor; browser cleanup ayrı ve tamamlanmış görünmüyor.
Gerekçeli cevabı oku
Server invalidation gözleniyor; browser cleanup ayrı ve tamamlanmış görünmüyor. — Bu kayıt, kalan cookie’nin kabul edilen session anlamına gelmediğini gösterir. Store invalidation ve scope’a uygun browser cleanup iki ayrı kontroldür. sid-b yalnız öğretim alias’ıdır; gerçek credential değildir.
Logout sonrası kalan cookie’yi doğrudan “protected erişim devam ediyor” bulgusu olarak yazmak neden yanlış pozitif üretir?
- Bu alias revoked ve request authentication kurmuyor; cookie varlığı erişim kanıtı değil.
- sid-b adı göründüğü için gerçek session secret sızmıştır.
- Cookie’ye yeni isim vermek tüm server session’larını revoke eder.
Gerekçeli cevabı oku
Bu alias revoked ve request authentication kurmuyor; cookie varlığı erişim kanıtı değil. — Bulgu protected request sonucu ve server state ile sınırlanır. Cookie cleanup eksikliği ayrıca incelenebilir; fakat cookie’nin kalmasını başarılı authorization veya secret sızıntısı diye eşitleme.
Rotation, expiry ve logout için browser ile store kanıtlarını ayıran bir regression planı yaz. Başka aktif session’lar için neyi varsaymamalısın?
Gerekçeli cevabı oku
Rotation’da eski alias’ın store tarafından artık kabul edilmediğini, yeni alias’ın kendi fixture koşullarında kabul edildiğini karşılaştırırım. Expiry’de süresi dolmuş alias protected request’te authentication-required sonucuna gider. Logout’ta store invalidation ile scope’a uygun cookie expiry response’unun uygulanmasını ayrı kaydederim. Bu sonuçları başka aktif session’lara taşımam. Gözlemler öğretim alias’larıyla tutulur; gerçek session secret loglanmaz.
□ Rotation eski/yeni alias kararlarını ayrı karşılaştırıyor mu?
□ Expiry sonucu store’un süre kontrolüne bağlandı mı?
□ Logout invalidation ile browser cleanup birbirinden ayrıldı mı?
□ Başka session’lara genelleme ve gerçek secret logging önlendi mi?
Bu vakayla bağlantılı dersler · 7
Bu derslerdeki kavramlarla vakaya dön. Bağlantılar vaka kaydına yeni gözlem eklemez; farklı sorumlulukları birlikte incelemene yardımcı olur.