servlet 设置cookie 安全吗？答案

【问题标题】：servlet set cookie secure?servlet 设置cookie 安全吗？
【发布时间】：2011-06-02 11:39:48
【问题描述】：

javax.servlet.http.Cookie implements java.lang.Cloneable

在Cookie方法中，有一个方法叫“setSecure”，它是做什么用的？如果我 setSecure（true），我需要在客户端（javascript）端做些什么来读取 cookie 吗？设置/不设置 setSecure 有何不同？

【问题讨论】：

【解决方案1】：

是的，这可以确保您的会话 cookie 对攻击者不可见，例如中间人攻击。除了手动设置它，您还可以配置您的 web.xml 以自动为您处理它。

<session-config>
   <cookie-config>
      <secure>true</secure>
   </cookie-config>
</session-config>

【讨论】：

【解决方案2】：

setSecure(true) 所做的只是告诉浏览器只有在使用“安全”协议（如https）时才应将 cookie 发送回服务器。您的 JavaScript 代码不必做任何不同的事情。

【讨论】：