набор сервлетов cookie безопасен? - PullRequest
Новая
       9

набор сервлетов cookie безопасен?

7 голосов
/ 02 января 2011 
javax.servlet.http.Cookie implements java.lang.Cloneable

В методе Cookie есть вызов метода "setSecure", для чего он используется? если я установилSecure (true), нужно ли что-нибудь делать на стороне клиента (javascript), чтобы прочитать cookie? чем отличается набор / без setSecure?

Ответы [ 2 ]

8 голосов
/ 02 января 2011

Все, что setSecure(true) делает, это сообщает браузеру, что cookie следует отправлять обратно на сервер только при использовании «безопасного» протокола, такого как https.Ваш код JavaScript не должен делать ничего другого.

1 голос
/ 30 ноября 2016

Да, это гарантирует, что ваш файл cookie сеанса не виден атакующему , как атака "человек посередине".Вместо установки вручную Вы можете альтернативно настроить ваш web.xml так, чтобы он обрабатывал его для вас автоматически . 

<session-config>
   <cookie-config>
      <secure>true</secure>
   </cookie-config>
</session-config>
...