Session, Cookie & Token — Learning Bundle
Session、Cookie 與 Token（教學組合）
這組教學拆開三個相關但不同的機制。Session 儲存伺服器認得的連續狀態；Cookie 是瀏覽器依規則管理和傳送的狀態；Token 則承載宣告或權限。這個組合不是單一標準身分術語。
另一個例子
不透明的 Session ID 存在設有 Secure、HttpOnly、SameSite 的 Cookie 中，並對應到伺服器上的狀態。
主要部分
- 01身分或輸入
- 02政策或轉換
- 03儲存結果與稽核證據
什麼時候用
請依生命週期、傳輸方式與撤銷方式選擇機制。也要確認用戶端可見範圍。這個選擇必須符合威脅模型。
什麼時候不要用
沒有威脅模型時，不要把長效 Bearer Token 放在瀏覽器程式碼可讀取的儲存空間。
程式裡的名稱
Set-Cookie / session store / JWT 上線前要檢查
確認每個成員概念都有自己的名稱與指南，並放在同一個情境中比較。用看得到的規則說明各成員何時適用、哪些組合合理。不可把整組說成單一正式模式，也不可說成能任意互換的做法。
預期成果：用 Session、Cookie 與 Token（教學組合） (Session, Cookie & Token — Learning Bundle) 比較其中不同的概念。說清楚各自邊界，再判斷哪些成員適用、哪些可以一起使用。 使用者情境：不透明的 Session ID 存在設有 Secure、HttpOnly、SameSite 的 Cookie 中，並對應到伺服器上的狀態。 要拆解的教學組合：Session、Cookie 與 Token（教學組合） (Session, Cookie & Token — Learning Bundle)。 正式成員指南：Web 工作階段 (Web Session)、HTTP Cookie (HTTP Cookie)、存取權杖 (Access Token) 這項比較的價值：請依生命週期、傳輸方式與撤銷方式選擇機制。也要確認用戶端可見範圍。這個選擇必須符合威脅模型。 不可把整組當成單一模式的情況：沒有威脅模型時，不要把長效 Bearer Token 放在瀏覽器程式碼可讀取的儲存空間。 比較要求：分別列出每個成員概念，說明各自的工作與邊界。把所有成員放進同一個真實情境。指出哪些看得到的訊號會決定採用、組合或排除每個成員。 決策品質：說清楚平台與證據的限制。指出哪些概念可以共存，也要標出錯誤類比、不安全替代，以及應改用其他概念的情況。 驗收條件：讀者能用一句話解釋每個成員，在範例中看出差異，說明採用某個成員或合理組合的理由，並開啟每個成員的正式指南。 證據與限制（證據邊界）：這不是正式規範標準。不同來源使用的名稱、範圍和預期做法可能不同。 待確認：目標平台、決策情境、限制，以及採用、組合或排除成員所需的證據。
檢查這份需求
請 AI 程式助手檢查目前如何使用 Session、Cookie 與 Token（教學組合） (Session, Cookie & Token — Learning Bundle)。 定義：這組教學拆開三個相關但不同的機制。Session 儲存伺服器認得的連續狀態；Cookie 是瀏覽器依規則管理和傳送的狀態；Token 則承載宣告或權限。這個組合不是單一標準身分術語。 正式環境檢查：確認每個成員概念都有自己的名稱與指南，並放在同一個情境中比較。用看得到的規則說明各成員何時適用、哪些組合合理。不可把整組說成單一正式模式，也不可說成能任意互換的做法。 修改程式前，先列出看到的證據、缺口、嚴重程度，以及最小且安全的修正。