Apa Itu Kuki? Cara Laman Web Mengingati Anda

Kuki ialah sedikit teks yang diminta oleh laman web untuk disimpan oleh pelayar anda dan kemudian dihantar semula pada setiap lawatan kemudian ke laman itu. Begitulah cara laman web "mengingati" anda — bahawa anda sudah log masuk, apa yang ada dalam troli anda, bahasa mana yang anda pilih. Kuki hanyalah data, bukan program, tetapi kerana ia boleh mengenal pasti anda, ia penting untuk keselamatan dan privasi.

Mengapa ia penting apabila anda membina dengan AI

Kuki terletak di bawah beberapa ciri yang akan anda minta daripada pembina AI, selalunya tanpa perkataan "kuki" pernah disebut:

Log masuk. Dalam kebanyakan apl web, "kekal log masuk" bermaksud kuki sesi. Cara kuki itu dikonfigurasi menentukan betapa mudahnya ia dicuri.
Troli dan keutamaan. Bakul yang kekal selepas halaman dimuat semula selalunya bergantung pada kuki atau storan pelayar.
Analitik dan iklan. Menambah Google Analytics, piksel Meta atau widget sembang biasanya turut menambah kuki daripada syarikat lain.
Notis undang-undang. Di banyak tempat, sesetengah kuki memerlukan persetujuan pelawat dahulu, dan di situlah banner kuki datang.

Jika anda tahu kuki mana yang ditetapkan oleh apl anda dan sebabnya, anda boleh membuat pilihan yang lebih baik tentang tetapan keselamatan, persetujuan dan dasar privasi anda.

Analogi harian

Bayangkan tiket bilik kot. Anda menyerahkan kot anda dan mendapat tiket bernombor. Tiket itu tidak mengandungi kot anda — hanya nombor. Setiap kali anda kembali ke kaunter, anda menunjukkan tiket itu, dan petugas tahu kot mana yang milik anda.

Kuki sesi berfungsi dengan cara yang sama. Apabila anda log masuk, pelayan menyimpan butiran anda di pihaknya dan memberi pelayar anda tiket — ID rawak yang panjang. Pelayar anda menunjukkan tiket itu dengan setiap permintaan, dan pelayan mencari siapa anda. Sesiapa yang menyalin tiket itu boleh mengambil kot itu, sebab itulah kuki log masuk perlu dilindungi.

Bagaimana kuki sebenarnya berfungsi

Anda melawat laman. Respons pelayan termasuk header seperti Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Pelayar anda menyimpannya, terikat dengan domain laman itu.
Pada setiap permintaan kemudian ke laman yang sama, pelayar secara automatik menambah Cookie: session_id=8f3k....
Pelayan membacanya dan tahu bahawa itu anda.

JavaScript halaman juga boleh mencipta kuki, tetapi yang paling penting — kuki sesi log masuk — sepatutnya ditetapkan oleh pelayan dan disembunyikan daripada JavaScript.

Jenis kuki

Jenis	Maksudnya	Contoh
Kuki sesi	Tiada tarikh luput; dipadam apabila sesi pelayar tamat	Langkah daftar keluar yang pendek
Kuki berterusan	Mempunyai tarikh luput (`Expires` atau `Max-Age`) dan kekal selepas dimulakan semula	"Ingat saya selama 30 hari"
Pihak pertama	Ditetapkan oleh laman di bar alamat	Log masuk anda pada laman itu
Pihak ketiga	Ditetapkan oleh domain lain yang dibenamkan dalam halaman	ID penjejakan rangkaian iklan
Benar-benar diperlukan	Diperlukan untuk perkhidmatan yang diminta pengguna	Sesi log masuk, troli beli-belah
Bukan penting	Bagus untuk pemilik laman	Analitik, pengiklanan, ujian A/B

Pelayar secara beransur-ansur menyekat kuki pihak ketiga kerana ia digunakan untuk menjejaki orang merentasi laman web. Beberapa pelayar utama kini menyekat banyak daripadanya secara lalai, dan butirannya terus berubah, jadi jangan bina sesuatu yang penting berdasarkan kuki pihak ketiga.

Contoh kerja: kedai dalam talian kecil

Katakan anda membina kedai yang menjual lilin buatan tangan. Berikut ialah kuki yang akan ditetapkan oleh versi yang munasabah, dan sebabnya.

session — ditetapkan apabila pemilik atau pelanggan log masuk. Ia hanya memegang ID rawak; pelayan menyimpan data sesi sebenar. Tetapan: HttpOnly (skrip halaman tidak boleh membacanya), Secure (hanya dihantar melalui HTTPS), SameSite=Lax (tidak dihantar pada kebanyakan permintaan yang dimulakan oleh laman lain). Benar-benar diperlukan.

cart_id — membolehkan pelawat yang tidak log masuk mengekalkan bakul mereka. Ia menunjuk kepada troli yang disimpan dalam pangkalan data. Benar-benar diperlukan, kerana pelawat meminta untuk menambah barang ke troli.

theme — mengingati mod gelap. Ini boleh menjadi kuki, tetapi ia tidak perlu sampai ke pelayan, jadi localStorage pelayar lebih mudah.

Kuki analitik — ditambah jika anda memasang alat analitik. Ini bukan penting. Di EU dan UK, ia umumnya memerlukan persetujuan sebelum ditetapkan, jadi skrip analitik perlu menunggu sehingga pelawat mengklik "Terima".

Perhatikan apa yang kedai itu tidak simpan dalam kuki: nama, alamat atau butiran kad pelanggan. Kuki bergerak dengan setiap permintaan dan kekal pada peranti pengguna, jadi ia sepatutnya memegang ID, bukan data peribadi.

Istilah biasa dijelaskan

Istilah	Maksudnya
Kuki	Pasangan nama-nilai kecil yang disimpan pelayar dan dihantar semula ke laman.
`Set-Cookie`	Header respons yang digunakan pelayan untuk mencipta atau mengemas kini kuki.
Sesi	Rekod pelayan tentang pengguna yang log masuk, dipautkan dengan ID kuki.
`HttpOnly`	Menghalang JavaScript halaman daripada membaca kuki, yang mengehadkan kerosakan daripada skrip yang disuntik.
`Secure`	Kuki hanya dihantar melalui sambungan HTTPS yang disulitkan.
`SameSite`	Mengawal sama ada kuki dihantar pada permintaan dari laman lain (`Strict`, `Lax` atau `None`).
`Expires` / `Max-Age`	Bila kuki sepatutnya dipadamkan.
Domain / Path	Alamat mana pada laman yang menerima kuki.
localStorage	Storan pelayar yang boleh dibaca oleh kod halaman, tetapi tidak dihantar ke pelayan secara automatik.
XSS	Cross-site scripting: skrip penyerang yang berjalan dalam halaman anda, yang mungkin cuba mencuri data.
CSRF	Cross-site request forgery: laman lain yang menipu pelayar supaya menghantar permintaan dengan kuki anda.
Persetujuan kuki	Meminta izin pelawat sebelum menetapkan kuki bukan penting.

Kesilapan dan salah faham yang biasa

"Kuki ialah virus." Ia adalah teks biasa. Ia tidak boleh menjalankan kod pada komputer anda.
Meletakkan data sensitif dalam kuki. Simpan ID rawak dan simpan butiran di pelayan.
Token log masuk dalam localStorage. Mana-mana skrip yang berjalan pada halaman boleh membaca localStorage, termasuk yang disuntik. Kuki HttpOnly tidak boleh dibaca langsung oleh skrip halaman.
Tiada Secure dan HttpOnly. Dua bendera ini murah dan menutup lubang yang biasa.
Menganggap banner meliputi segala-galanya. Banner yang memuatkan analitik sebelum sesiapa mengklik "Terima" tidak melakukan tugasnya.
Terlupa log keluar. Log keluar sepatutnya memadamkan kuki dan menamatkan sesi di pelayan, supaya kuki yang disalin berhenti berfungsi.
"Jika saya tidak guna kuki, peraturan privasi tidak terpakai." Peraturan seperti GDPR meliputi data peribadi di mana sahaja ia disimpan — termasuk storan tempatan, cap jari peranti dan log pelayan.

Apa yang perlu diminta kepada pembina AI anda

"Senaraikan setiap kuki yang ditetapkan oleh apl, untuk apa ia, berapa lama ia bertahan, dan sama ada ia benar-benar diperlukan."
"Gunakan kuki HttpOnly, Secure, SameSite=Lax untuk sesi log masuk. Jangan letakkan token pengesahan dalam localStorage."
"Simpan hanya ID sesi rawak dalam kuki; simpan data sesi di pelayan."
"Apabila log keluar, kosongkan kuki dan batalkan sesi di pelayan."
"Jangan muatkan skrip analitik atau pemasaran sehingga pelawat menerimanya, dan ingat pilihan mereka."
"Tambah bahagian kuki yang ringkas pada dasar privasi yang sepadan dengan senarai di atas."

Untuk bahagian persetujuan, lihat cara menambah persetujuan kuki. Untuk cara kuki berkait dengan log masuk, baca apa itu pengesahan.

Kuki dalam Mythex

Mythex tidak menyediakan log masuk terbina dalam untuk pengguna apl anda, jadi kuki yang ditetapkan apl anda datang daripada kod sendiri dan alat yang anda tambah padanya — contohnya, kuki sesi daripada pendekatan pengesahan yang anda pilih. Minta ejen dalam sembang untuk menyenaraikannya, mengetatkan tetapannya, atau menambah banner persetujuan, dan semak hasilnya dalam pratonton langsung sebelum anda menerbitkan. Resipi dokumentasi tentang menambah log masuk pada apl anda ialah permulaan prompt yang baik, dan keselamatan untuk apl yang anda bina menerangkan cara memastikan kunci dan rahsia tidak berada dalam pelayar.

Soalan lazim

Apakah kuki pada laman web?

Kuki ialah sedikit teks yang diminta oleh laman web untuk disimpan oleh pelayar anda. Pelayar menghantarnya semula dengan setiap permintaan kemudian ke laman itu, yang membolehkan laman mengingati perkara seperti sama ada anda sudah log masuk atau apa yang ada dalam troli anda.

Adakah kuki berbahaya?

Kuki hanyalah data, bukan program, jadi ia tidak boleh menjalankan kod atau menjangkiti komputer. Kebimbangannya ialah privasi, apabila kuki pihak ketiga menjejaki anda merentasi laman, dan keselamatan, apabila kuki log masuk dicuri dan digunakan untuk menyamar sebagai anda.

Apakah perbezaan antara kuki pihak pertama dan pihak ketiga?

Kuki pihak pertama ditetapkan oleh laman di bar alamat anda, seperti kuki log masuk. Kuki pihak ketiga ditetapkan oleh domain lain yang dibenamkan dalam halaman, seperti rangkaian iklan, dan sering digunakan untuk mengikuti anda merentasi banyak laman.

Adakah saya memerlukan banner kuki?

Ia bergantung pada tempat pengguna anda berada dan kuki yang anda gunakan. Di EU dan UK, kuki bukan penting seperti analitik atau pengiklanan umumnya memerlukan persetujuan dahulu, manakala kuki yang benar-benar diperlukan untuk perkhidmatan, seperti sesi log masuk, biasanya tidak. Semak peraturan yang terpakai kepada anda.

Apakah perbezaan antara kuki dan localStorage?

Kedua-duanya menyimpan data dalam pelayar. Kuki dihantar ke pelayan secara automatik dengan setiap permintaan, yang sesuai untuk log masuk. localStorage kekal dalam pelayar dan hanya dibaca oleh kod halaman itu sendiri, yang sesuai untuk keutamaan seperti tema.