JETTY- HTTPONLY COOKIE未能保存在嵌入式Jetty 11中的浏览器中

Question

在我的Web应用程序中，我正在设置响应cookie：

Cookie testCookie = new Cookie("test", "mycookie");
testCookie.setHttpOnly(true);
testCookie.setPath("/");
testCookie.setMaxAge(3600);
testCookie.setSecure(true);

response.addCookie(testCookie); // Response is of type HttpServletResponse

执行请求的客户端正在Localhost运行。

当我查看Chrome中的请求时，我会看到cookie选项卡并查看cookie已收到，但是当我在应用程序中查看charme时，我找不到这个cookie。 ，不要发送饼干。

另外，在Jetty 11中，我似乎无法设置cookie的samesite属性。

我该如何设置此cookie，在Chrome的“应用程序”选项卡中不可见httponly cookie是否正常？如何验证是否设置？

编辑： 其他细节 我在https：// localhost中运行客户端，服务器正在使用带有自签名证书的https。 我正在收到的饼干似乎是从响应中获得的，但是铬似乎并不能保存它。

Answer 1

我们的经验是，Chrome将拒绝/删除任何set-cookie，而没有samesite value设置。

码头11 ... jakarta.servlet.http.cookie中的行为

• 没有“ samesite”的设置/获取器（这是下一个Servlet API版本的功能）。
• 默认情况下，servletContext属性org.eclipse.jetty.cookie.samesititedefaultefault包含samesite cookie属性的默认值。 （使用Value NONE，严格或LAX）。如果此属性未设置，则您的cookie没有提供samesite值。
• 您可以配置samesite，httponly用码头中的cookie注释来控制特定的cookie samesite行为。

示例：

Cookie testCookie = new Cookie("test", "mycookie");
testCookie.setHttpOnly(true);
testCookie.setPath("/");
testCookie.setMaxAge(3600);
testCookie.setSecure(true);
testCookie.setComment("__SAME_SITE_LAX__");
// This can be __SAME_SITE_NONE__, or __SAME_SITE_STRICT__, or __SAME_SITE_LAX__

response.addCookie(testCookie);

在评估浏览器中的这些更改时，请确认set-cookie响应标头首先是您想要的，然后查看“应用程序”选项卡。

请注意，Chrome对于IP地址，单标签域和保留的主机名（例如“ test”或“ localhost”等保留的域名具有大量的特殊规则请求等。在您进行测试时避免使用任何这些，请在可能的情况下使用完全合格的主机名，否则您会对这些规则感到惊讶。