Amazon 上的负载均衡器没有为 Cookie 设置安全标志

Question

我们有一个在 Amazon 上运行的基于 Java 的应用程序，并且已经配置了我们的 Amazon ELB 以成功连接到它们。但是，我们看到 Cookie 标志未设置为安全。

Name    Value       Domain     Path    Expires     Secure

AWSELB  lkajsldf    test.com   /       Session     No

如何使 cookie 安全？

Answer 1

我刚刚重新检查了AWS文档，情况仍然如此——你不能让这个cookie安全或httpOnly。

http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/elb-sticky-sessions.html

但是，您现在可以选择让 ELB 依赖于 Web 服务器发出的 Cookie，因此您可以在每个 Web 服务器（均具有相同名称）上配置自己的服务器级 Cookie，并为每个 Web 使用唯一值服务器并让 Web 服务器包含 httponly 和 secure 标志。

Answer 2

我认为由于 ELB 仅将这个 cookie 用于会话粘性，因此这是一个不安全的 cookie。（即没有敏感数据）。

您可以向 AWS 开具有关此问题的支持票证。