在谷歌應用程序引擎java上的HttpOnly cookie

Question

任何人都知道如何在應用引擎上使用httponly cookie進行會話和cookie？

在Cookie類的javadoc中， http：//java.sun.com/javaee/6/docs/api/javax/servlet/http/Cookie.html#setHttpOnly (boolean ） ，有一個setHttpOnly方法。

嘗試在開發app引擎時使用它時出現編譯器錯誤。

該方法是在Servlet 3.0規范中引入的，因此它非常新穎。

Answer 1

App Engine支持版本2.5的Servlet API，因此您無法使用setHttpOnly方法。

您可以嘗試自己輸出cookie標頭。

resp.setHeader("Set-Cookie", "A=7; expires=Fri, 31-Dec-2010 23:59:59 GMT; path=/; domain=.example.net; HttpOnly");

Answer 2

自2017年以來， GAE確實支持servlet API 3.1所以我在web.xml中測試了以下cookie選項，它可以工作：

<session-config>
  <cookie-config>
    <http-only>true</http-only>
  </cookie-config>
</session-config>