Cookie http只有spring security和servlet 2.5？

Question

我想让我的cookie安全,只有http请求.

我见过很多像这样的帖子似乎工作正常,但使用配置文件和servlet +3.

我基本上想要做的是仅设置我的cookie http和(如果可能的话)ssl.

到目前为止,我已将其添加到我的web.xml中

    <session-config>
        <session-timeout>60</session-timeout>
        <cookie-config>
            <http-only>true</http-only>
        </cookie-config>
        <tracking-mode>COOKIE</tracking-mode>
    </session-config>

什么都不做,就我读到的而言,我还必须配置我的servlet.xml以启用此功能,但我不知道如何...

知道怎么做吗？

编辑:

由于我使用的是servlet 2.5,xml配置不是一个选项,可能是一个过滤器？

Answer 1

我讨厌 XML 配置，所以我花了一些时间寻找非 XML 解决方案。

从 Spring Security 1.3 开始你可以使用

server.session.cookie.http-only=true
server.session.cookie.secure=true

在您的application.properties文件中。

也许有一种方法可以使用纯 Java 配置来设置它，但我找不到它们。

Answer 2

我相信您缺少安全标签。尝试添加：

<secure>false</secure>