使 JSF 应用程序中的所有 cookie 安全

【问题标题】：Make all cookies secure in a JSF Application使 JSF 应用程序中的所有 cookie 安全
【发布时间】：2022-07-07 16:59:47
【问题描述】：

如何使 Java Web / JSF 应用程序中的所有 cookie 安全？

我将以下几行添加到 web.xml 以使 JSESSIONID 安全且 httpOnly。然而，其他 cookie 并不安全。

<session-config>
    <session-timeout>
        15
    </session-timeout>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
        <max-age>6000</max-age>
    </cookie-config>
</session-config>

如果可以通过更改 web.xml 文件来实现，那就太好了。

【问题讨论】：

标签： jsf web.xml

【解决方案1】：

可以通过您的代码或您使用的框架的代码任意创建 cookie 并将其附加到响应中。根据servlet API，secure 标志的默认值为false。对于任何特定的 cookie，您可以使用 Cookie.setSecure() 方法将此标志设置为 true，但无法强制此标志始终为真。您必须针对每个特定情况解决此问题。

【讨论】：