Đặt httponly trong cookie JSESSIONID (Java EE 5)

Question

Tôi đang cố đặt cờ httponly trên cookie JSESSIONID. Tuy nhiên, tôi đang làm việc trong Java EE 5 và không thể sử dụng setHttpOnly(). Trước tiên, tôi đã cố gắng tạo cookie JSESSIONID của riêng mình từ trong số doPost() của servlet bằng cách sử dụng response.setHeader().

Khi điều đó không hiệu quả, tôi đã thử response.addHeader(). Điều đó cũng không hiệu quả. Sau đó, tôi đã học được rằng servlet đã xử lý chuyển đổi phiên thành một cookie JSESSIONID và chèn nó vào tiêu đề http vì vậy nếu tôi muốn chơi với cookie đó, tôi sẽ phải viết một bộ lọc. Tôi đã viết một bộ lọc và chơi với setHeader()/addHeader() ở đó, một lần nữa không có kết quả. Sau đó, tôi đã học được rằng có một số hành động xả/đóng đang diễn ra trong đối tượng phản hồi trước khi nó vào bộ lọc vì vậy nếu tôi muốn thao tác dữ liệu, tôi cần mở rộng HttpServletResponseWrapper và chuyển nó tới filterChain.doFilter(). Điều này được thực hiện nhưng tôi vẫn chưa nhận được kết quả. Rõ ràng tôi đang làm điều gì đó sai trái nhưng tôi không biết điều gì.

Tôi không chắc chắn nếu điều này là có liên quan đến tất cả các câu hỏi trong tầm tay nhưng không có tài liệu html đang được trả lại bởi servlet cho trình duyệt. Tất cả những gì thực sự xảy ra là một số đối tượng đang được phổ biến và trả về một tài liệu JSP. Tôi đã giả định rằng đối tượng Session được chuyển thành một cookie JSESSIONID và được gói - cùng với các đối tượng được thêm vào yêu cầu - trong tiêu đề http trước khi được gửi đến trình duyệt.

Tôi rất sẵn lòng đăng một số mã nhưng tôi muốn loại trừ khả năng khó khăn của tôi xuất phát từ sự hiểu lầm của lý thuyết đầu tiên.

Answer 1

Vì cookie JSESSIONID được quản lý bởi servletcontainer, cài đặt này là servletcontainer cụ thể. Không rõ bạn đang sử dụng cái nào, vì vậy đây là câu trả lời được nhắm mục tiêu Apache Tomcat 6.0 để bạn biết hướng nào bạn sẽ phải tìm kiếm servletcontainer của mình: bạn cần đặt thuộc tính useHttpOnly của phần tử <Context> của ứng dụng web thành true.

<Context useHttpOnly="true"> 
    ... 
</Context> 

Xem thêm điều này Tomcat documentation về phần tử <Context>.

Answer 2

Bạn có thể sử dụng với Java EE 5:

Đối với phiên bản Java Enterprise Edition trước khi Java EE 6 một phương pháp phổ biến là để ghi đè lên đáp ứng tiêu đề http SET-COOKIE với một giá trị cookie phiên mà rõ ràng gắn thêm các HttpOnly cờ:

String sessionid = request.getSession().getId(); 
// be careful overwriting: JSESSIONID may have been set with other flags 
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly"); 

Nguồn: https://www.owasp.org/index.php/HttpOnly

tôi thử nghiệm nó thành một bộ lọc