使用 Apache 将 HttpOnly 标志动态添加到 cookie 中？

Question

所以我有一个 java webapp，它使用 tomcat 和 apache 代理层。我希望使应用程序设置的所有 cookie 都具有 httpOnly 标志。这样做的问题是 tomcat 负责从应用程序端设置标志，并且其默认值（在 servlet api 2.5 中）为 false。我希望我可以使用 apache 为所有 cookie 动态设置这个标志。

我一直在尝试不同的组合，我得到的最接近的是设置最后一个传递给 httpOnly 的 cookie，这当然是错误的：

Header append Set-Cookie "; HttpOnly"

我无法知道将从应用程序传递哪些 cookie/值。这可能吗？

Answer 1

以下 mod_headers 重写的好处是，如果 HttpOnly 已经存在，它就不会重复它，如果这类事情对您很重要的话：

  Header edit Set-Cookie "(?i)^((?:(?!;\s?HttpOnly).)+)$" "$1; HttpOnly"

请参阅：

• 我最初找到上述正则表达式的位置
• 解释为什么所有这些带有否定先行断言的括号，搜索查找包含或不包含某些单词的行
• 一篇文章，我发现了正则表达式的一个小改进（搜索 Header edit Set-Cookie）

Answer 2

尝试以下 mod_headers 指令。

Header edit Set-Cookie ^(.*)$ $1;HttpOnly