如何在tomcat中标记JSESSIONID安全？

Question

我想将由tomcat（版本8）生成的JSESSIONID cookie标记为安全。 我正在使用java 12 ...

到目前为止，我已经尝试过

1. 在tomcat的web.xml文件中，我已经添加了

    <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
    </cookie-config>

在会话配置部分

2. 在我的servlet尝试过cookie.setSecure(true)

都不能用..任何更好的解决方案？

Answer 1

应该维护2个标记以避免Session Cookies劫持（HttpOnly，Secure）

Set-Cookie: JSESSIONID=T8zK7hcII6iNgA; Expires=Wed, 21 May 2018 07:28:00 GMT; HttpOnly; Secure

对于Servlet 3.0，配置如下

<session-config>
    <cookie-config>
      <http-only>true</http-only>
      <secure>true</secure>
    </cookie-config>
</session-config>