会话cookie Websphere 7的安全和HttpOnly标志

Question

在Servlet 3.0投诉应用程序服务器中,我可以通过在web.xml中添加以下内容来为会话cookie(JSESSIONID)设置HttpOnly和安全标志:

<session-config>
  <cookie-config>
    <secure>true</secure>
    <http-only>true</http-only>
  </cookie-config>
</session-config>

但是,我正在处理的应用程序将部署在Websphere 7中,这是Servlet 2.5的投诉,如果我将上面的内容添加到web.xml,则无法启动

在Websphere 7配置中是否还有其他声明性方法或设置来打开会话cookie的HttpOnly和安全标志？

如果没有,那么以编程方式完成该方法的最佳方法是什么？

Answer 1

我认为在WebSphere 7中您可能需要深入研究管理控制台.与以往一样,WebSphere文档似乎很差,但似乎建议设置com.ibm.ws.security.addHttpOnlyAttributeToCookies属性:

通过设置WebSphere Application Server属性来启用Secure标志和HTTPOnly标志: com.ibm.ws.security.addHttpOnlyAttributeToCookies.

我找到了这个,我希望它适用于WAS7.你能试试吗(我的系统目前只有WAS 8):

JSESSIONID cookie:

安全标志:

可以通过选择AppServer - > [Server Name] - > Web Container Settings-> Session Management在WebSphere Application Server管理界面中设置Secure标志.选中"将Cookie限制为HTTPS会话"复选框.

HTTPOnly标志:

当前无法在此cookie上设置HTTPOnly属性.它在IBM站点上注册为APAR PK98436.此APAR的修复程序目前包含在Fix Packs 6.1.0.31和7.0.0.9中,但尚未提供.有了这个APAR,就可以通过属性名称在JSESSIONID cookie上设置HTTPOnly标志:com.ibm.ws.webcontainer.httpOnlyCookies.有关启用WebContainer自定义属性的说明,请参阅以下技术说明.

该com.ibm.ws.webcontainer.httpOnlyCookies财产记录上为7帮助网站.