Java应用程序Servlet 3中的httponly和安全标志

Question

我正在尝试将httponly和安全标志设置为true来设置应用程序，但是一旦我通过添加请求的cookie-config标记来编辑我的web.xml文件，如下所示：

 <cookie-config>
       <http-only>true</http-only>
       <secure>true</secure>
 </cookie-config>

我在提交的第一个命令链接处收到ViewExpiredException。

我的web.xml文件中的完整session-config标签是

<session-config>
    <session-timeout>5</session-timeout>
    <cookie-config>
        <secure>true</secure>
        <http-only>true</http-only>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

我一直试图了解错误可能是什么，但找不到任何东西。

当命令链接通过ajax在bean中调用方法时，我的托管bean被注释为@SessionScoped。

Answer 1

基于Cookie的Secure意味着将仅针对HTTPS连接设置Cookie。

如果您通过http访问您的应用程序，则不会传输cookie，也就不会有会话（因此也就不会有会话或视图作用域的bean或视图状态）。

您可以将状态保存状态切换到客户端，但实际上需要使用HTTPS。