Модуль 7 · Урок 28
Headers, cookies, caching і HTTP evidence
Fields керують message semantics і описують representation. Cookies додають session context, caches повторно використовують responses, а conditional requests відрізняють transfer від validation.
Fields мають визначену семантику
Field names case-insensitive, але values інтерпретуються за contract конкретного field. Request fields описують preferences, preconditions, credentials або context; response fields — representation metadata, location, policy, validators чи diagnostics. Не порівнюйте всю колекцію як unordered dictionary: повторюваність і combine rules залежать від field.
| Contract | QA assertion |
|---|---|
Content-Type | Media type/charset відповідає actual content. |
Accept* / Vary | Selected representation і cache variants узгоджені. |
Location | Target відповідає status/method і не витікає в unsafe origin. |
| Correlation/rate fields | Format, propagation і redaction за documented contract. |
Cookies додають state context
Server надсилає `Set-Cookie`, user agent повертає matching cookies за domain/path/expiry/Secure/SameSite rules. `HttpOnly` закриває cookie від JavaScript, але не від browser HTTP requests. QA перевіряє login/logout/expiry/rotation, scope і відсутність session IDs у screenshot/HAR/report.
Cookie не доводить authorization
Server має перевірити session і permissions для кожної protected operation. Client-visible role або наявність cookie не є authorization oracle.
Freshness, validation і invalidation
Fresh cached response може обслуговувати equivalent request без origin validation. Stale response зазвичай revalidate через `If-None-Match`/ETag або `If-Modified-Since`/Last-Modified; 304 не несе нову selected representation content, а оновлює reuse. `no-cache` дозволяє storage, але вимагає validation перед reuse; `no-store` просить не зберігати.
HTTP Investigation Lab
- Розкладіть URI й визначте origin/intermediaries.
- Збережіть request/response message summary без секретів.
- Перевірте method/status/state, redirect hops і retry safety.
- Порівняйте cold, fresh-cache і revalidation runs.
- Оформіть finding із exact evidence та residual uncertainty.
Офіційні джерела
Модуль 7 завершено
Після тесту прогрес стане 28/28 опублікованих уроків. Модуль 8 продовжить роботу вже з API contracts, schemas, auth і collections; фінал та сертифікат поки закриті.
Закріпіть матеріал уроку
Три сценарні питання. Для зарахування уроку потрібно дати щонайменше дві правильні відповіді.