установите флаг безопасности в файл cookie идентификатора JSESSION

Question

Я хочу установить флаг безопасности в файл cookie JSESSIONID.Есть ли в tomcat 6 конфигурация для этого?

Я попытался установить 'secure = "true" в элементе "Connector" (8080) файла server.xml, но это создает проблемы ...сбрасывается.

Обратите внимание, что в моем приложении JSESSIONID создается в режиме «http» (страница индекса), когда пользователь входит в систему, он переключается в режим «https».

Answer 1

Если вы используете Tomcat 6, вы можете сделать следующее решение

String sessionid = request.getSession().getId();
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; secure ; HttpOnly");

см. https://www.owasp.org/index.php/HttpOnly для получения дополнительной информации

Answer 2

используйте атрибут useHttpOnly = "true". В Tomcat9 значением по умолчанию является true.