如何在 tomcat / java webapps 中配置 HttpOnly cookie？

Question

阅读 Jeff 关于保护您的 Cookie：HttpOnly 的博客文章后。 我想在我的 Web 应用程序中实现 HttpOnly cookie。

如何告诉 tomcat 在会话中使用仅 http 的 cookie？

Answer 1

对于会话cookie，Tomcat 似乎还不支持。 请参阅错误报告需要添加对 HTTPOnly 会话 cookie 参数的支持。 目前，可以在 此处< /a>，这基本上可以归结为手动修补 Tomcat。 我担心目前还无法真正找到一种简单的方法来做到这一点。

总结一下解决方法，它涉及下载 5.5 源代码，以及然后在以下位置更改源：

org.apache.catalina.connector.Request.java

//this is what needs to be changed
//response.addCookieInternal(cookie);

//this is whats new
response.addCookieInternal(cookie, true);
}

org.apache.catalina.connectorResponse.addCookieInternal

public void addCookieInternal(final Cookie cookie) {
addCookieInternal(cookie, false);
}

public void addCookieInternal(final Cookie cookie, boolean HTTPOnly) {

if (isCommitted())
return;

final StringBuffer sb = new StringBuffer();
//web application code can receive a IllegalArgumentException
//from the appendCookieValue invokation
if (SecurityUtil.isPackageProtectionEnabled()) {
AccessController.doPrivileged(new PrivilegedAction() {
public Object run(){
ServerCookie.appendCookieValue
(sb, cookie.getVersion(), cookie.getName(),
cookie.getValue(), cookie.getPath(),
cookie.getDomain(), cookie.getComment(),
cookie.getMaxAge(), cookie.getSecure());
return null;
}
});
} else {
ServerCookie.appendCookieValue
(sb, cookie.getVersion(), cookie.getName(), cookie.getValue(),
cookie.getPath(), cookie.getDomain(), cookie.getComment(),
cookie.getMaxAge(), cookie.getSecure());
}
//of course, we really need to modify ServerCookie
//but this is the general idea
if (HTTPOnly) {
sb.append("; HttpOnly");
}

//if we reached here, no exception, cookie is valid
// the header name is Set-Cookie for both "old" and v.1 ( RFC2109 )
// RFC2965 is not supported by browsers and the Servlet spec
// asks for 2109.
addHeader("Set-Cookie", sb.toString());

cookies.add(cookie);
}

Answer 2

对于我明确设置的 cookie，我转而使用 SimpleCookie 由 Apache Shiro 提供。 它不是从 javax.servlet.http.Cookie 继承的，因此需要更多的处理才能让一切正常工作，但它确实提供了一个属性集 HttpOnly 并且可以与 Servlet 2.5 一起使用。

要在响应上设置 cookie，您需要执行 cookie.saveTo(request, response)，而不是执行 response.addCookie(cookie)。

Answer 3

还应该注意的是，打开 HttpOnly 会破坏需要有状态访问回 jvm 的小程序。

Applet http 请求不会使用 jsessionid cookie，并且可能会被分配给不同的 tomcat。

Answer 4

更新：这里的 JSESSIONID 内容是
仅适用于较旧的容器。 请用
jt 目前接受的答案除非
您正在使用 < Tomcat 6.0.19 或 < 雄猫
5.5.28 或其他不支持 HttpOnly JSESSIONID cookies 作为配置选项的容器。

在应用程序中设置 cookie 时，请使用 Cookie。

response.setHeader( "Set-Cookie", "name=value; HttpOnly");

但是，在许多 Web 应用程序中，最重要的 cookie 是会话标识符，它由容器作为 JSESSIONID cookie。

如果只使用这个cookie，可以写一个ServletFilter在出去的时候重新设置cookie，强制JSESSIONID为HttpOnly。 页面位于 http://keepitlocked.net/archive /2007/11/05/java-and-httponly.aspx http: //alexsmolen.com/blog/?p=16 建议在过滤器中添加以下内容。

if (response.containsHeader( "SET-COOKIE" )) {
  String sessionid = request.getSession().getId();
  response.setHeader( "SET-COOKIE", "JSESSIONID=" + sessionid 
                      + ";Path=/<whatever>; Secure; HttpOnly" );
} 

但请注意，这将覆盖所有 cookie，并且仅设置您在此过滤器中指定的内容。

如果您对 JSESSIONID cookie 使用其他 cookie，则需要扩展此代码以设置过滤器中的所有 cookie。 对于多个 cookie，这不是一个很好的解决方案，但对于仅 JSESSIONID 设置来说，这可能是一个可接受的快速修复。

请注意，随着您的代码随着时间的推移而发展，当您忘记此过滤器并尝试在代码中的其他位置设置另一个 cookie 时，就会有一个令人讨厌的隐藏错误在等着您。 当然，它不会被设置。

但这确实是一个黑客行为。 如果您确实使用 Tomcat 并且可以编译它，那么请看看 Shabaz 的出色建议，将 HttpOnly 支持修补到 Tomcat 中。

Answer 5

从 Tomcat 6.0.19 和 Tomcat 5.5.28 开始支持 httpOnly。

请参阅 bug 44382 的 changelog 条目。

bug 44382 声明，“这已应用于 5.5.x 并将包含在5.5.28 起。” 不过5.5.28似乎还没有发布。

可以为 conf/context.xml 中的所有 Web 应用程序启用 httpOnly 功能：

<Context useHttpOnly="true">
...
</Context>

我的解释是，通过将其设置在所需的上下文 conf/server.xml 中的条目（与上面的方式相同）。

Answer 6

请小心不要覆盖 https 会话中的“;secure”cookie 标志。 该标志可防止浏览器通过未加密的 http 连接发送 cookie，基本上使使用 https 进行合法请求变得毫无意义。

private void rewriteCookieToHeader(HttpServletRequest request, HttpServletResponse response) {
    if (response.containsHeader("SET-COOKIE")) {
        String sessionid = request.getSession().getId();
        String contextPath = request.getContextPath();
        String secure = "";
        if (request.isSecure()) {
            secure = "; Secure"; 
        }
        response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid
                         + "; Path=" + contextPath + "; HttpOnly" + secure);
    }
}

Answer 7

如果您的 Web 服务器支持 Serlvet 3.0 规范，例如 tomcat 7.0+，您可以在 web.xml 中使用以下内容： 正如

<session-config>
  <cookie-config>
     <http-only>true</http-only>        
     <secure>true</secure>        
  </cookie-config>
</session-config>

文档中所述：

HttpOnly：指定是否创建任何会话跟踪 cookie
此 Web 应用程序将被标记为 HttpOnly

安全：指定
此 Web 应用程序是否创建任何会话跟踪 cookie
即使发起请求的请求也将被标记为安全
相应的会话使用纯 HTTP 而不是 HTTPS

请参阅 如何为java web应用程序设置httponly和会话cookie

Answer 8

在 Tomcat6 中，您可以有条件地从 HTTP 侦听器类启用：

public void contextInitialized(ServletContextEvent event) {                 
   if (Boolean.getBoolean("HTTP_ONLY_SESSION")) HttpOnlyConfig.enable(event);
}

使用此类

import java.lang.reflect.Field;
import javax.servlet.ServletContext;
import javax.servlet.ServletContextEvent;
import org.apache.catalina.core.StandardContext;
public class HttpOnlyConfig
{
    public static void enable(ServletContextEvent event)
    {
        ServletContext servletContext = event.getServletContext();
        Field f;
        try
        { // WARNING TOMCAT6 SPECIFIC!!
            f = servletContext.getClass().getDeclaredField("context");
            f.setAccessible(true);
            org.apache.catalina.core.ApplicationContext ac = (org.apache.catalina.core.ApplicationContext) f.get(servletContext);
            f = ac.getClass().getDeclaredField("context");
            f.setAccessible(true);
            org.apache.catalina.core.StandardContext sc = (StandardContext) f.get(ac);
            sc.setUseHttpOnly(true);
        }
        catch (Exception e)
        {
            System.err.print("HttpOnlyConfig cant enable");
            e.printStackTrace();
        }
    }
}

Answer 9

我在 OWASP 中发现，

<session-config>
  <cookie-config>
    <http-only>true</http-only>
  </cookie-config>
</session-config>

这也是“配置中的 httponlycookies”安全问题的修复

Answer 10

实现：在Tomcat 7.x/8.x/9.x中

进入Tomcat>> conf文件夹
打开 web.xml 并在 session-config 部分添加以下内容

    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>

Answer 11

从Java Enterprise Edition 6（JEE 6）开始，可以直接设置cookie：

    cookie.setHttpOnly(true);