Vaadin Flow 14 如何设置 HttpOnly cookie 标志答案

【问题标题】：Vaadin Flow 14 how to set HttpOnly cookie flagVaadin Flow 14 如何设置 HttpOnly cookie 标志
【发布时间】：2021-08-25 17:54:13
【问题描述】：

我们有一个 Vaadin Flow 14.x 企业应用程序，最近的安全审查强调了 JSESSIONID cookie 中没有设置 HttpOnly 标志。我们如何使用 Vaadin Flow 14 设置此标志？我已经搜索了很多，但没有找到任何对此的参考。

我们的应用使用嵌入式码头，但在这种情况下这可能无关紧要，因为它的 Vaadin 正在根据我们所知设置 JSESSIONID。

解决方案

如下所述的解决方案是配置嵌入式码头设置HttpOnly。就我而言，我是通过以下方式做到的：

WebAppContext context = new WebAppContext();
context.getSessionHandler().setHttpOnly(true);

【问题讨论】：

【解决方案1】：

关键是通过Jetty来配置这个。 Vaadin 只是使用javax.servlet.http.HttpSession，而没有直接接触任何低级会话管理细节，例如 cookie。

【讨论】：