Отсутствует атрибут HttpOnly для идентификатора сеанса с протоколом HTTP

Question

Раньше я получал HttpOnly для протокола HTTP/HTTPS, но отсутствовал защищенный атрибут.

Для того, чтобы добавить "Secure" атрибут, я добавил в безопасности = "истина" в server.xml «s Разъем синтаксиса порта, как показано ниже -

<Connector address="10.23.17.69" port="8000" maxHttpHeaderSize="8192" 
      maxThreads="150" minSpareThreads="25" maxSpareThreads="75" 
      enableLookups="false" redirectPort="8443" acceptCount="100" 
      connectionTimeout="60000" disableUploadTimeout="true" URIEncoding="UTF-8" server="Dev" secure="true" /> 

Также добавлен "куки-конфигурация" в web.xml как показано ниже -

<session-config> 
    <session-timeout>120</session-timeout> 
    <cookie-config> 
     <secure>true</secure> 
     <http-only>true</http-only> 
    </cookie-config> 
</session-config> 

Теперь для протокола HTTPS, я получаю «Secure» и «HTTPOnly» флаги, как верно для куки сессии, как показано ниже.

Но для протокола HTTP я не получаю атрибут HttpOnly. Мне нужно «HttpOnly = true» в случае HTTP-протокола.

Обратите внимание, что элемент «Контекст» моего context.xml уже содержит useHttpOnly атрибут следующим образом -

<Context useHttpOnly="true"> 
.... 
</Context> 

Любое предложение очень высокую оценку.

Answer 1

Прочтите это article Я думаю, что вы неправильно настроили атрибут cookie сеанса.

Оно должно быть:

<Context cookies="true" crossContext="true"> 
    <SessionCookie secure="true" httpOnly="true" />