如何在tomcat中標記JSESSIONID安全？

Question

我想將由tomcat（版本8）生成的JSESSIONID cookie標記為安全。 我正在使用java 12 ...

到目前為止，我已經嘗試過

1. 在tomcat的web.xml文件中，我已經添加了

    <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
    </cookie-config>

在會話配置部分

2. 在我的servlet嘗試過cookie.setSecure(true)

都不能用..任何更好的解決方案？

Answer 1

應該維護2個標記以避免Session Cookies劫持（HttpOnly，Secure）

Set-Cookie: JSESSIONID=T8zK7hcII6iNgA; Expires=Wed, 21 May 2018 07:28:00 GMT; HttpOnly; Secure

對於Servlet 3.0，配置如下

<session-config>
    <cookie-config>
      <http-only>true</http-only>
      <secure>true</secure>
    </cookie-config>
</session-config>