如何从设置了 HttpOnly 标志的浏览器中删除 JSESSIONID cookie

Question

如果我听起来不好，请道歉。

我有一个xyz.war，它进行一些身份验证并设置一个cookie（设置了HttpOnly，所以我不能通过javascript使其过期），以便在用户下次登录时保持会话。现在，鉴于我可以访问托管 xyz.war 的 Tomcat，我如何编写一个可以 expire/delete cookie 的 Java 程序？我可以创建一个 java 项目的.war 并将其托管在同一个 Tomcat 中，并通过 api 从客户端访问它。

Answer 1

您会使 xyz 应用程序中的会话无效。由第三方删除（因此能够修改）cookie 将是一个安全漏洞。