Плагин Jetty Maven 8.0.0.M3 поддерживает весь сервлет 3? - PullRequest
Новая
       37

Плагин Jetty Maven 8.0.0.M3 поддерживает весь сервлет 3?

3 голосов
/ 09 июня 2011

В моем файле web.xml есть следующее: 

<session-config>
  <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
  </cookie-config>
  <session-timeout>15</session-timeout>
  <tracking-mode>COOKIE</tracking-mode>
</session-config>

Однако, в соответствии с прокси Zed Attack OWASP (https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project), cookie по-прежнему устанавливаются Spring Security без httpOnly или безопасных флагов).

Если я разверну то же приложение в Tomcat 7, оно, похоже, выполнит эти настройки из файла web.xml.

1 Ответ

0 голосов
/ 07 сентября 2012

Решение: Расположите элементы в правильном порядке: 

<session-config>
    <session-timeout>15</session-timeout>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>
...