为HttpOnly和Secure设置了JSESSIONID

Question

我们有一个tomcat实例通过SSL nginx代理服务HTTP.我们按如下方式设置连接器的设置:

connectionTimeout="20000"
redirectPort="8443"
compression="on"
compressionMinSize="2048"
scheme="https"
secure="true"
proxyPort="443"           
compressableMimeType="text/html,text/xml,text/plain,text/css,text/javscript,application/javascript,application/json"

在HttpOnly和SSL上都创建了JSESSIONID cookie.我们希望仅将其限制为SSL,我们似乎无法弄清楚Java中会话cookie创建背后的逻辑.任何提示都将非常感激.

Answer 1

在仅Http cookie的属性是有点误导命名为:它真正的意思是"不要让这个cookie是由客户端脚本可读".它是不是安全属性的对面,确实这是非常好的做法,就能为您希望只由服务器通过HTTPS可读敏感饼干两个属性.