http.cookiejar.domain_match() matches an interior substring instead of a suffix

domain_match(A, B) is documented to return True when A has the form NB, i.e. A ends with B (RFC 2965, section 1: "x.y.com domain-matches .Y.com but not Y.com"). It computes i = A.rfind(B) and only rejects i == -1 or i == 0, so a B that appears as an interior substring of A also matches:

>>> from http.cookiejar import domain_match
>>> domain_match("www.acme.com.evil.org", ".acme.com")
True

www.acme.com.evil.org does not end with .acme.com, so this should be False. The sibling helper user_domain_match() already uses A.endswith(B). This feeds the RFC 2965 (version > 0) cookie domain checks in set_ok_domain/return_ok_domain and is_third_party().

Linked PRs

• gh-150523

http.cookiejar.domain_match() から始め、その動作を、関連する user_domain_match() ヘルパーおよび文書化されている RFC 2965 のルールと比較してください。報告された例が内部の部分文字列に対してはもう一致しないことを確認し、関連する set_ok_domain、return_ok_domain、is_third_party() のパスを確認してください。リンクされた PR gh-150523 は、作業がすでに進行中であることを示しています。