開場白

今天 D28 我們把焦點放在 Cookie：
網路上最常被忽視卻又最關鍵的「狀態與追蹤機制」。
Cookie 同時是便利（登入保持、偏好設定）與風險（追蹤、會話接管、CSRF）的來源。
本篇從資安與隱私角度出發，幫你掌握重點與應對方法。

一、Cookie 是什麼？

Cookie 是伺服器儲存在使用者瀏覽器中的小資料片段，
能讓網站「記得你是誰」──例如登入狀態、購物車內容、語言設定等。

常見類型

常見屬性

二、Cookie 帶來的資安風險

1. XSS（跨站指令碼）
   若網站可被植入惡意 JS，而 Cookie 未設 HttpOnly，攻擊者可讀取並竊取登入憑證。

2. CSRF（跨站請求偽造）
   瀏覽器會自動帶 Cookie，攻擊者可在其他網站觸發你的登入狀態行為。
   可透過 SameSite=Lax 或 CSRF Token 降低風險。

3. Session 劫持
   攻擊者截取 session ID 或讓你使用他提供的固定 ID。
   解法：短期有效、登入後重新產生 Session。

4. 第三方追蹤
   廣告與分析服務透過第三方 Cookie 建立行為輪廓，
   雖不算直接攻擊，但屬於重大隱私風險。

三、Cookie 檢視與清冊（可直接貼文）

在 Chrome / Edge：
「F12 → Application → Storage → Cookies」
即可檢視每個 Cookie 的 Name、Domain、Path、HttpOnly、Secure、SameSite 等資訊。

Cookie 清冊範例表

四、Cookie 強化建議

伺服器端

• 會話 Cookie：必設 HttpOnly; Secure; SameSite=Lax。
• 不在 Cookie 中放個資、密碼或 JWT 明文。
• 控制有效期並定期更新 Session ID。

前端

• 不共用會話 Cookie 給 JavaScript。
• 減少第三方追蹤程式與分析外掛。
• 建立明確的「Cookie 使用政策」頁面。

隱私管理

• 分開「必要 Cookie」與「分析 / 廣告 Cookie」。
• 預設僅啟用必要 Cookie，讓使用者可自行開關。
• 記錄同意與撤回行為（符合法規要求）。

小結

Cookie 看似小小一行字，卻連動登入安全、隱私合規與使用者信任。
盤點、分類、設定，就是最簡單也最有效的資安防線。
學會讀懂 Cookie，你就能預防一半以上的 Web 攻擊風險。+