CookieのExpires属性とMax-Age属性の違いについて

Question

現在、Cookieについて調べております。

RFC6265を確認しておりますが、ExpiresとMax-Ageの違いは、日時で指定するか、秒数で指定するかの違いしかないかと存じます。

Max-Age属性については、下記の記述があります。

注記： 一部の既存の UA は Max-Age 属性をサポートしない。 Max-Age 属性をサポートしない UA はこの属性を無視する。

また、Max-Age属性は最初の規格にあたるNetscape規格には存在しない属性で、RFC2109から追加された属性です。

その後、RFC2965でもRFC6265でもMax-Age属性は存在します。

■質問1

Max-Age属性は後方互換を維持するために残っている属性であり、通常はExpires属性を使用するという解釈でよろしいでしょうか？

■質問2

Expires属性を使わずに、Max-Age属性を使う場合はありますでしょうか？

ご存じの方いれば、教えてくださいm(__)m

Answer 1

むしろ本来は、RFCで制定されたmax-ageを使うのが正当で、両方設定されていた場合（で、ブラウザが両方認識できる場合）にはExpiresは無視されるという動作となります。

ただし、大きなシェアを占めるInternet Explorerが、バージョン11ですらmax-age非対応なので、（IEを切り捨て可能な特殊な状況でない限り）実用上はexpires指定が必須、ということになってしまっています。

Comments

[退会済みユーザー]

なるほど、RFC6265ではMax-Age属性が優先されるのはなぜだろうと疑問に思いましたが、RFCとしては、Max-Age属性を使ってほしいという思惑があるんですね。

そもそもRFC2109、RFC2965にはExpires属性はないですからね。

Netscape規格目線で考えていましたが、RFC目線で考えれば合点がいきました。

現状としては、Max-Age属性は主要ブラウザが対応していないので、実際には使えないということなんですね。

とても参考になりました。

ありがとうございましたm(__)m