在 JSESSIONID cookie 中设置 httponly (Java EE 5)

Question

我正在尝试在 JSESSIONID cookie 上设置 httponly 标志。但是，我正在 Java EE 5 中工作，无法使用 setHttpOnly()。首先，我尝试使用 response.setHeader() 在 servlet 的 doPost() 中创建自己的 JSESSIONID cookie。

当这不起作用时，我尝试了 response.addHeader()。那也没用。然后，我了解到 servlet 处理将会话转换为 JSESSIONID cookie 并将其插入到 http 标头中，因此如果我想使用该 cookie，我必须编写一个过滤器。我编写了一个过滤器并在那里使用了 setHeader()/addHeader() ，但再次无济于事。

然后，我了解到响应对象在到达过滤器之前会进行一些刷新/关闭操作，因此如果我想操作数据，我需要扩展 HttpServletResponseWrapper 并将其传递给 filterChain.doFilter()。这已经完成，但我仍然没有得到结果。显然我做错了什么，但我不知道是什么。

我不确定这是否与当前的问题完全相关，但 servlet 没有将 html 文档返回到浏览器。实际发生的只是一些对象被填充并返回到 JSP 文档。我假设 Session 对象在发送到浏览器之前被转换为 JSESSIONID cookie 并与添加到请求中的对象一起包装在 http 标头中。

我很乐意发布一些代码，但我想首先排除我的困难源于对理论的误解的可能性。

Answer 1

由于 JSESSIONID cookie 由 servletcontainer 管理，因此此设置是 servletcontainer 特定的。目前尚不清楚您使用的是哪一个，因此这里有一个 Apache Tomcat 6.0 目标答案，以便您知道您的方向必须查找您的 servlet 容器：您需要将 Web 应用程序的 元素的 useHttpOnly 属性设置为 true。

<Context useHttpOnly="true">
    ...
</Context>

另请参阅有关 的 Tomcat 文档 ; 元素。

Answer 2

您可以将其与 Java EE 5 一起使用：

对于 Java EE 6 之前的 Java Enterprise Edition 版本，常见的解决方法是使用显式附加 HttpOnly 标志的会话 cookie 值覆盖 SET-COOKIE http 响应标头：

String sessionid = request.getSession().getId();
// be careful overwriting: JSESSIONID may have been set with other flags
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly");

来源：https://www.owasp.org/index.php/HttpOnly

我将其测试到过滤器中