Cookie ဆိုတာ ဘာလဲ? Browser က မှတ်ထားတဲ့ မှတ်စုလေး

လွယ်လွယ်ပြောရင် cookie ဆိုတာ website တစ်ခုက သင့်ရဲ့ browser ထဲ သိမ်းခိုင်းထားတဲ့ စာသားမှတ်စုလေးပါ။ “ဒီလူ login ဝင်ပြီးသား”, “ဒီလူက dark mode ကြိုက်တယ်” ဆိုတဲ့ မှတ်စုမျိုး။

ပွဲ (သို့မဟုတ် ကလပ်) အဝင်မှာ လက်မှာ တံဆိပ် ရိုက်ပေးတာနဲ့ တူတယ်။ ပွဲထဲ တစ်ခါ ဝင်ပြီးရင် တံဆိပ်ပါတဲ့ လက်ကို ပြရုံနဲ့ အထွက်အဝင် လုပ်လို့ရတယ် — ဝင်တိုင်း လက်မှတ် ပြန်ဝယ်စရာ မလိုဘူး။ Cookie ကလည်း ဒီလိုပဲ — တစ်ခါ login ဝင်ပြီးရင် website က သင့် browser ထဲ cookie ထည့်ပေးတယ်။ နောက် page တွေ ဖွင့်တိုင်း browser က အဲဒီ cookie ကို အလိုလို ပြန်ပို့တယ် — “ဒီလူက ဝင်ပြီးသားပါ” လို့ website က သိတယ်။ Login ထပ်ရိုက်စရာ မလိုဘူး။

ဘယ်လို အလုပ်လုပ်လဲ —

သင် website ကို ပထမဆုံး ဖွင့်တယ် (ဥပမာ facebook.com)
Login ဝင်လိုက်တယ် — server က စစ်ပြီး “အိုကေ၊ ဒီလူ အစစ်ပါ” လို့ ဆုံးဖြတ်တယ်
Server က response ထဲမှာ Set-Cookie: sessionid=abc123 ဆိုပြီး header ထည့်ပေးတယ်
Browser က အဲဒါကို သိမ်းထားတယ်
နောက် request တိုင်းမှာ browser က Cookie: sessionid=abc123 ဆိုပြီး အလိုလို ပြန်ပို့တယ်
Server က cookie ကို ကြည့်ပြီး “အော်၊ ဒါ login ဝင်ပြီးသားလူ” လို့ မှတ်မိတယ်

Cookie အမျိုးအစားတွေ —

Session cookie — browser ပိတ်လိုက်တာနဲ့ ပျောက်သွားတယ် (bank website တွေမှာ သုံးတယ်)
Persistent cookie — ရက် ၃၀ လို သတ်မှတ်ထားတဲ့ အချိန်အထိ ခံတယ် (“Remember me” ကို နှိပ်ထားရင် ဒါမျိုး)
First-party cookie — သင် ဖွင့်ထားတဲ့ website ကိုယ်တိုင် ချပေးတာ (login, language, theme မှတ်တာ)
Third-party cookie — ကြော်ငြာ network လို အခြား company က ချပေးတာ — သင် ဘယ် site တွေ သွားလဲ လိုက်ကြည့်တာ။ ဒါကြောင့် Chrome, Safari တို့က ပိတ်ဖို့ လုပ်နေကြတာ

လုံခြုံရေးအတွက် သတိထားရမှာတွေ —

သူများ ကွန်ပျူတာ (ဥပမာ cyber cafe) သုံးပြီးရင် browser ရဲ့ cookie တွေ ရှင်းခဲ့ပါ — မဟုတ်ရင် နောက်လူက သင့် account ထဲ ဝင်လို့ရတယ်
Bank, email လို အရေးကြီးတဲ့ site တွေမှာ “Remember me” ကို အများသုံး device ပေါ်မှာ ဘယ်တော့မှ မနှိပ်ပါနဲ့
Cookie ခိုးခံရရင် (ဥပမာ XSS တိုက်ခိုက်မှုကနေ) hacker က သင့် login session ကို ခိုးယူလို့ရတယ် — အရင်ရက်က XSS အကြောင်း ရေးထားတာနဲ့ ဆက်စပ်တယ်
Browser setting ထဲမှာ third-party cookie ကို block ထားလို့ရတယ် — privacy ပိုကောင်းတယ်

Developer တွေအတွက် — cookie မှာ HttpOnly flag ထည့်ရင် JavaScript က ဖတ်လို့မရဘူး (XSS ကနေ ကာကွယ်တယ်)၊ Secure flag ထည့်ရင် HTTPS နဲ့ပဲ ပို့တယ်၊ SameSite flag က CSRF တိုက်ခိုက်မှုကနေ ကာကွယ်ပေးတယ်။

Cookie ဆိုတာ မကောင်းတဲ့ အရာမှ မဟုတ်ဘူး — login မှတ်တာ၊ စျေးဝယ်ခြင်း cart မှတ်တာ၊ ဘာသာစကား မှတ်တာ — ဒါတွေ အကုန် cookie ကြောင့် အဆင်ပြေနေတာ။ ပြဿနာက ဘယ်သူက ဘာ မှတ်ထားလဲ ဆိုတာ ကိုယ် သိဖို့ပဲ။ ကိုယ့် browser ရဲ့ cookie setting ကို တစ်ခါလောက် ဝင်ကြည့်ကြည့်ပါ — အံ့ဩစရာ တွေ့ရလိမ့်မယ်။ 🙂