Java應用程序Servlet 3中的httponly和安全標志

Question

我正在嘗試將httponly和安全標志設置為true來設置應用程序，但是一旦我通過添加請求的cookie-config標記來編輯我的web.xml文件，如下所示：

 <cookie-config>
       <http-only>true</http-only>
       <secure>true</secure>
 </cookie-config>

我在提交的第一個命令鏈接處收到ViewExpiredException。

我的web.xml文件中的完整session-config標簽是

<session-config>
    <session-timeout>5</session-timeout>
    <cookie-config>
        <secure>true</secure>
        <http-only>true</http-only>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

我一直試圖了解錯誤可能是什么，但找不到任何東西。

當命令鏈接通過ajax在bean中調用方法時，我的托管bean被注釋為@SessionScoped。

Answer 1

基於Cookie的Secure意味着將僅針對HTTPS連接設置Cookie。

如果您通過http訪問您的應用程序，則不會傳輸cookie，也就不會有會話（因此也就不會有會話或視圖作用域的bean或視圖狀態）。

您可以將狀態保存狀態切換到客戶端，但實際上需要使用HTTPS。