「ミクシィ、画像に認可制御なしの欠陥を改修できず、ヘルプで弁解」記事へのコメント

2個のSet-Cookieじゃだめ？

[Anonymous Coward]

Set-Cokkie: sessionid=#############; domain=mixi.jp
Set-Cokkie: sessionid=#############; domain=.mixi.jp

と2つのSet-Cookie:を返すだけじゃ駄目なのかな。

Re:2個のSet-Cookieじゃだめ？

[Anonymous Coward]

2つcookieを設定して、でどうするの？

Re:2個のSet-Cookieじゃだめ？

[tnk (13707)]

つまり，

＞Set-Cookie: sessionid=#############; domain=mixi.jp
だと，本文を提供しているmixi.jpにはsessionidが返されるけど，画像を提供しているimg*.mixi.jpやic**.mixi.jpにはsessionidが送られない。

＞Set-Cookie: sessionid=#############; domain=.mixi.jp
だとimg*.mixi.jpやic**.mixi.jpにはsessionidが返されるようになるけど，一部のブラウザでmixi.jpには返されなくなり，ログインができなくなる。

ならば，両方つけてしまえば，どのブラウザでも，どちらのサーバーにもcookieが返るのでは？ ということだと思う。

Re:2個のSet-Cookieじゃだめ？

[Anonymous Coward]

これ、シンプルで凄くいいアイディアだと思うんだけど、なんでやらないんだろう？
なんか問題があるのかな？

Re:2個のSet-Cookieじゃだめ？

[Anonymous Coward]

レスポンスに幾つCookieを吐いても、名前が同じであればリクエスト時にはどっちかしか使われないわけなので、そのあたりが問題になるのかしら。
ということはsessionid、sessionid2と名前を変えればいいのかな。

どっちにしても画像一つずつに認証を行わなければいけないので、サーバーのパフォーマンスが追いつかんのでしょうね。

Re:2個のSet-Cookieじゃだめ？

[Anonymous Coward]

レスポンスに幾つCookieを吐いても、名前が同じであればリクエスト時にはどっちかしか使われないわけなので、

同じ名前 = 同じ値
なんだから、それでいいのでは？
（両方使われてもいいし）

どっちにしても画像一つずつに認証を行わなければいけないので、サーバーのパフォーマンスが追いつかんのでしょうね。

認証じゃなくて認可ね。
その程度の処理は全体の0.1％くらいでしょ。
それに過去に domain=.mixi.jp で対策打った実績があるんだし。