デバイスに束縛されたセッション資格情報

URL（url）とセッション識別子 （session identifier）が与えられた場合、このアルゴリズムはデバイス束縛セッションを返し、 そのようなセッションが存在しない場合は null を返します。

1. domain を、url のhostの 登録可能ドメインとします。

2. ユーザーエージェントのセッションストアが domain を 含まない場合、 null を返します。

3. domain sessions を、ユーザーエージェントのセッションストア[domain] を ID 別 セッションマップとして表したものとします。

4. domain sessions[session identifier] を、null を デフォルトとして返します。

1. scope を session のセッションスコープとします。

2. scope のサイトを含めるが true の場合、 URL の オリジンが scope のオリジンと same siteでないなら "exclude" を返します。

3. scope のサイトを含めるが false の場合、 URL の オリジンが scope のオリジンと same originでないなら "exclude" を返します。

4. URL が session の更新 URLに一致する場合、"exclude" を返します。

5. scope の スコープ指定内の各 scope specification について反復します:

   1. host pattern を scope specification のhost、 path pattern を scope specification のpathとします。

   2. URL のhostと host pattern に対して § 8.4 ホストがパターンに一致するかを識別する を実行した結果が false の場合、 継続します。

   3. 次のいずれかが成り立つ場合、scope specification のtypeを返します:

      1. URL のpathが path pattern と完全に一致する。

      2. path pattern が '/' で終わり、URL のpathが path pattern で始まる。

      3. URL のpathが path pattern の後に '/' が続く形で始まる。

6. "include" を返します。

1. session のセッションスコープのサイトを含める が true であり、かつ request のオリジンが session のセッションスコープ のオリジンと same siteである場合、"allowed" を返します。

2. session のセッションスコープのサイトを含める が false であり、かつ request のオリジンが session のセッションスコープ のオリジンと same originである場合、"allowed" を返します。

3. session の 許可された更新開始元内の各 initiator pattern について反復します:

   1. request の オリジンのhostと initiator pattern に対して § 8.4 ホストがパターンに一致するかを識別する を実行した結果が true の場合、"allowed" を返します。

4. "disallowed" を返します。

1. pattern が '*' と等しい場合、true を返します。

2. host string を、直列化された host とします。

3. pattern が '*' で始まり、かつ host が ドメインである場合:

   1. pattern が '*.' で始まらない場合、false を返します。

   2. host string が pattern の最初の文字を除いたすべてで 終わる場合、true を返します。

4. host string が pattern と等しい場合、true を返します。

1. domain を、request の urlのhostの 登録可能ドメインとします。

2. ユーザーエージェントのセッションストアが domain を 含まない場合、 null を返します。

3. domain sessions を、ユーザーエージェントのセッションストア[domain] を ID 別 セッションマップとして表したものとします。

4. domain sessions 内の各 session について 反復します:

   1. session の有効期限タイムスタンプが 現在より前である場合、 session を domain sessions から削除し、継続します。

   2. id を session のセッション識別子とします。

   3. タプル（domain, id）が request の 遅延されたデバイス束縛セッション ID内にある場合、継続します。

   4. request のURL と session に対して § 8.2 URL がセッションのスコープ内にあるかを識別する の手順を実行します。結果が "include" でない場合、継続します。

   5. request と session に対して § 8.3 リクエストが更新を許可するかを識別する の手順を実行します。結果が "allowed" でない場合、継続します。

   6. request と session のセッション資格情報に対して § 8.6 セッション資格情報が欠落しているかを識別する の手順を実行します。 結果が false の場合、継続します。

   7. （domain, id）を request の遅延されたデバイス束縛 セッション IDに追加します。

   8. session の有効期限タイムスタンプを 将来のタイムスタンプに設定します。 有効期限タイムスタンプの正確な選択はユーザーエージェントに委ねられます。 最大 Cookie 有効期間に合わせることが推奨されます。

   9. session を返します。

5. null を返します。

1. credentials 内の各 credential について 反復します:

   1. credential のattributesを持つ Cookie が request に添付されない場合（第 5.4 節 of [COOKIES] を参照）、継続します。

   2. request のヘッダーリストが、 次のすべての条件を満たす cookie を含む場合、継続します:

      1. cookie の名前が credential のnameと一致する。

      2. cookie の次のすべての属性が、 credential のattributes内のものと一致する: Domain, Path, Secure, HttpOnly, SameSite。

   3. true を返します。

2. false を返します。

応答（response）が与えられた場合、このアルゴリズムは デバイス束縛 セッションのキャッシュされたチャレンジを更新します。

1. header name を "Secure-Session-Challenge" とします。

2. challenge list を、response の ヘッダーリストから、header name と "list" を与えて構造化 フィールド値を取得するを実行した結果とします。

3. challenge list が null の場合、return します。

4. challenge list 内の各（challenge, params）について 反復します:

   1. challenge の型が sf-stringでない場合、 継続します。

   2. session id を null とします。

   3. params["id"] が存在し、かつ sf-stringである場合、session id を params["id"] に設定します。

   4. session id が null の場合、継続します。

   5. session を、response のURLと session id を与えて § 8.1 セッションを識別するを実行した結果とします。

   6. session が null の場合、継続します。

   7. session のセッション資格情報内の 各 credential について反復します:

      1. credential のattributesを持つ Cookie が response によって設定できない場合（ 第 5.3 節 of [COOKIES] を参照）、継続します。

      2. challenge を、このデバイス束縛 セッションから次回 DBSC proofが送信される際に使用される session のキャッシュされたチャレンジとして 保存します。

      3. Breakします。

ユーザーエージェントは、束縛資格情報が欠落している場合には常にこれらの手順を実行しますが、 任意の時点でこれを行ってもよい（MAY）です。束縛資格情報の期限切れ前に事前にリクエストを送信すると、 DBSC のレイテンシコストを最小限にできます。

1. ユーザーエージェントは、ユーザーまたはサイトに対するサービス拒否を防ぐため、 このリクエストをスキップしてもよい（MAY）です。たとえば、このセッションが過剰な TPM 操作を要求している場合（ユーザーに害を与える）、または更新 エンドポイントに最近到達できなかった場合（サイトに対するサービス拒否リスク）に起こり得ます。 ユーザーエージェントがこれを選択した場合、originating request、適切なトークン（ § 9.5 `Secure-Session-Skipped` HTTP ヘッダー フィールドの選択肢を参照）、および session id を用いて § 8.12 デバッグヘッダーを追加する の手順を実行し、これをサイトに示すべきです。

2. terminate the session を、次の手順を持つアルゴリズムとします:

   1. session id が null の場合、return します。

   2. そのようなセッションが見つかった場合、destination のhostの 登録可能ドメインと識別子 session id を持つセッションを、 ユーザーエージェントのセッションストアから削除します。

3. originating request のURLのオリジンが destination のオリジンと same siteでない場合、return します。

4. signed challenge を null とします。challenge または authorization が non-null の場合、DBSC proofを作成し、key pair で署名し、その 結果を signed challenge に保存します。

5. HTTP fetchで使用するための request を作成します。

6. request のmethodを "POST" に設定します。

7. request のURLを destination に設定します。

8. request のredirect modeを "follow" に設定します。

9. signed challenge が non-null の場合、 ("Secure-Session-Response", signed challenge) ヘッダーを request の ヘッダーリストに appendします。

10. session id が non-null の場合、 ("Sec-Secure-Session-Id", session id) ヘッダーを request の ヘッダーリストに appendします。

11. authorization が non-null の場合、 ("Authorization", authorization) ヘッダーを request のヘッダーリストにappendします。

12. request のinitiatorを originating request の initiatorに設定します。

13. request のoriginを originating request の originに設定します。

14. response を、request に対して HTTP fetchを実行した結果とします。

15. response がネットワークエラーである、または response の statusが 407 または 429 の場合、return します。

16. response のstatusが 300 以上 400 未満である場合、 return します。

17. response のstatusが 403 の場合:

    1. session id が null の場合、return します。

    2. session を、destination と session id に対して § 8.1 セッションを識別するの手順を実行した結果とします。

    3. session が null の場合、return します。

    4. それ以外の場合、元の入力を用いてこのアルゴリズムを再開しますが、 challenge を session のキャッシュされたチャレンジで置き換えます。

18. response のstatusが 400 以上 500 未満である場合、 terminate the session を行い、return します。

19. response のstatusが 500 以上である場合、 return します。ユーザーエージェントは、更新エンドポイントの 一時的な停止による害を制限するために、このセッションに対する 以後の更新リクエストでバックオフ機構をトリガーすることを選択できます。

20. session id が non-null であり、かつ response のbodyが 空である場合、return します。

21. response、 destination、 session id、および key pair に対して § 8.9 セッションを作成するを呼び出します。

1. terminate the session を、次の手順を持つアルゴリズムとします:

   1. session id が null の場合、return します。

   2. そのようなセッションが見つかった場合、destination のhostの 登録可能ドメインと識別子 session id を持つセッションを、 ユーザーエージェントのセッションストアから削除します。

2. JSON session を、response のbody をJSON セッション指示として解析した結果とします。 解析に失敗した場合、terminate the session を行い、return します。これには、すべての必須キーが 存在することの検証が含まれます。

3. JSON session のcontinueが false の場合、 terminate the session を行い、return します。

4. session identifier を JSON session のsession_identifierとします。

5. JSON scope を JSON session のscopeとします。

6. origin を、JSON scope のoriginが存在する場合はそこから構築される オリジン、存在しない場合は destination のオリジンとします。

7. JSON session のrefresh_urlが 値を持たない場合、refresh URL を destination とします。

8. それ以外の場合、refresh URL を、JSON session のrefresh_urlの値を用いて destination を解決した結果とします。

9. 次の検証を実行します。いずれかが失敗した場合、 terminate the session を行い、return します。

   1. session id が non-null の場合、それは session identifier と一致しなければなりません。

   2. origin は有効な non-opaque オリジンでなければなりません。

   3. origin は destination のオリジンとsame siteでなければなりません。

   4. refresh URL は HTTPS スキームを持つか、localhost でなければなりません。

   5. refresh URL のオリジンは destination のオリジンとsame siteでなければなりません。

   6. すべてのJSON セッション資格情報は 属性 "Partitioned" を持ってはなりません。

10. destination domain を、destination のhostの登録可能ドメインとします。

11. JSON scope のinclude_siteが true の場合、 次の検証を実行します。いずれかが失敗した場合、terminate the session を行い、return します。

    1. origin のhostは destination domain と等しくなければなりません。

    2. destination domain が destination のhostと等しい場合、 この手順内の残りのすべての検証をスキップします。

    3. session id が non-null の場合、この手順内の残りのすべての検証を スキップします。

    4. それ以外の場合、well known URL を destination のコピーとし、 hostを destination domain に置き換え、 pathを "/.well-known/device-bound-sessions" に置き換えたものとします。

    5. well known response を well known URL を fetch した結果とします。

    6. well known response のstatusは 200 でなければなりません。

    7. well known response のbodyは JSON エンコードされた 辞書でなければなりません。

    8. well known response のbodyはキー "registering_origins" を含まなければなりません。

    9. キー "registering_origins" の値は destination のオリジンを含まなければなりません。

12. session を新しいセッションとします。

13. session のセッション識別子を session identifier に設定します。

14. session の更新 URLを refresh URL に設定します。

15. session のセッションスコープを、 オリジン origin と、 サイトを含めるとして JSON scope のinclude_siteの値を持つ新しいスコープに設定します。

16. JSON scope のscope_specification内の各 JSON scope rule について反復します:

    1. scope rule を新しいスコープ指定とします。

    2. scope rule のtypeを JSON scope rule の typeに設定します。

    3. scope rule のhostを JSON scope rule の domainに設定します。

    4. scope rule のpathを JSON scope rule の pathに設定します。

    5. scope rule を session のセッションスコープのスコープ指定に追加します。

17. JSON session のcredentials内の各 JSON session credential について反復します:

    1. session credential を新しいセッション資格情報とします。

    2. JSON session credential のtypeが "cookie" でない場合、terminate the session を行い、return します。

    3. session credential のnameを JSON session credential のnameに設定します。

    4. session credential のattributesを JSON session credential のattributesに設定します。

    5. session credential を session のセッション資格情報に追加します。

18. session のセッション鍵ペアを key pair に設定します。

19. session の許可された更新開始元 を JSON session のallowed_refresh_initiators に設定します。

20. session の有効期限タイムスタンプを将来の タイムスタンプに設定します。 有効期限タイムスタンプの正確な選択はユーザーエージェントに委ねられます。 最大 Cookie 有効期間に合わせることが推奨されます。

21. session のセッション資格情報内の各 credential について反復します:

    1. credential のattributesを持つ Cookie が response によって設定できない場合（第 5.3 節 of [COOKIES] を参照）、継続します。

    2. 既存のセッションを削除するため、terminate the session を呼び出します。

    3. ユーザーエージェントのセッションストア[destination domain][session identifier] を session に設定します。

    4. Breakします。

1. header name を "Secure-Session-Registration" とします。

2. registration list を、response の ヘッダーリストから、header name と "list" を与えて構造化 フィールド値を取得するを実行した結果とします。

3. registration list が null の場合、return します。

4. registration list 内の各（registration entry, params） について反復します:

   1. registration entry が sf-inner-listでない場合、 継続します。

   2. params["path"] が存在しない、または型が sf-stringでない場合、 継続します。

   3. path を params["path"] とします。

   4. challenge を null とし、authorization を null とします。

   5. params["challenge"] または params["authorization"] のいずれかが存在するが 型が sf-stringでない場合、継続します。

   6. params["challenge"] が存在する場合、challenge を params["challenge"] に設定します。

   7. params["authorization"] が存在する場合、authorization を params["authorization"] に設定します。

   8. endpoint を、response の URL に相対的に path を解決した結果とします。

   9. key pair を、 registration entry、 params、および endpoint に対して § 8.11 セッション鍵ペアを作成するを実行した結果とします。

   10. key pair が null の場合、return します。

   11. request、 key pair、endpoint、 session identifier として null、challenge、および authorization を用いて § 8.8 リクエストを送信するを呼び出します。

1. algorithm list を空のリストとします。

2. registration entry 内の各 algorithm について反復します:

   1. algorithm が sf-tokenでない場合、継続します。

   2. algorithm が `Secure-Session-Registration` でサポートされる暗号アルゴリズムを表し、かつこのクライアントでサポートされる場合、 algorithm を algorithm list に追加します。

3. algorithm list が空の場合、null を返します。

4. params["provider_key"]、params["provider_id"]、または params["provider_url"] のいずれかが存在する場合:

   1. 3 つのキーのいずれかが欠落している場合、null を返します。

   2. permission を、 "device-bound-session-key-sharing" について 使用許可を要求するを実行した結果とします。

   3. permission が "denied" の場合、null を返します。

   4. provider URL を、 params["provider_url"] から構築される URL とします。

   5. provider origin を provider URL のオリジンとします。

   6. provider origin が opaque の場合、null を返します。

   7. provider domain を、 provider URL のhostの 登録可能ドメインとします。

   8. provider identifier を params["provider_id"] とします。

   9. provider session を、ユーザーエージェントの セッション ストア[provider domain][provider identifier] 内のセッションとします。

   10. provider session が null の場合、null を返します。

   11. provider session のセッションスコープ のオリジンが provider origin とsame originでない場合、null を返します。

   12. provider session のセッション鍵ペアの JWK thumbprint（ [RFC7638] を参照）が、 base64 でエンコードした際（[RFC4648] を参照）に params["provider_key"] と一致しない場合、null を返します。

   13. provider well known URL を provider URL のコピーとし、 pathを "/.well-known/device-bound-sessions" に置き換えたものとします。

   14. provider well known response を provider well known URL を fetch した結果とします。次のいずれかが成り立つ場合、null を返します:

       1. provider well known response のstatusが 200 でない。

       2. provider well known response のbodyが JSON エンコードされた 辞書でない。

       3. provider well known response のbodyがキー "provider_origin" を含む。

       4. provider well known response のbodyが キー "relying_origins" を含まない。

       5. キー "relying_origins" の値が registration URL の オリジンを含まない。

   15. ユーザーエージェントは、悪用を防ぐため、 "relying_origins" 内の 登録可能オリジンラベル数に上限を設けるべきです。

   16. relying well known URL を registration URL のコピーとし、 pathを "/.well-known/device-bound-sessions" に置き換えたものとします。

   17. relying well known response を relying well known URL を fetch した結果とします。次のいずれかが成り立つ場合、null を返します:

       1. relying well known response のstatusが 200 でない。

       2. relying well known response のbodyが JSON エンコードされた 辞書でない。

       3. relying well known response のbodyがキー "relying_origins" を含む。

       4. relying well known response のbodyが キー "provider_origin" を含まない。

       5. キー "provider_origin" の値が provider URL の オリジンでない。

   18. provider session のセッション鍵ペアを返します。

5. algorithm list のために作成された新しい鍵ペアを返します。

1. value を、値 token を持つ sf-token とします。

2. value 上の sf-parameter "session_identifier" を session id に設定します。

3. skipped header value を、request の ヘッダーリストと、 ヘッダー名 "Secure-Session-Skipped"、型 "list" を用いて構造化フィールド値を取得する 手順を実行した結果とします。

4. skipped header value が null の場合、空の sf-list に設定します。

5. value を skipped header value に追加します。

6. request の ヘッダーリスト上で、 ("Secure-Session-Skipped", skipped header value) を与えて 構造化フィールド値を設定する 手順を実行します。