谷歌应用程序引擎java上的HttpOnly cookies

Question

有人知道我如何在应用程序引擎上使用 httponly cookie 进行会话和 cookie 吗？

在 Cookie 类的 javadoc 中， http://java.sun.com/javaee/6/docs/api/javax/servlet/http/Cookie.html#setHttpOnly(boolean) , 有一个 setHttpOnly 方法。

不过，在为应用程序引擎开发时尝试使用它时，我遇到了编译器错误。

该方法是在 Servlet 3.0 规范中引入的，因此它是相当新的。

Answer 1

App Engine 在 2.5 版中支持 Servlet API，因此您无法使用 setHttpOnly 方法。

您可以尝试自己输出 cookie 标头。

resp.setHeader("Set-Cookie", "A=7; expires=Fri, 31-Dec-2010 23:59:59 GMT; path=/; domain=.example.net; HttpOnly");

Answer 2

自 2017 年起 GAE 确实支持 servlet API 3.1 所以我在 web.xml 中测试了以下 cookie 选项并且它有效：

<session-config>
  <cookie-config>
    <http-only>true</http-only>
  </cookie-config>
</session-config>