为 LFR_SESSION_STATE_% 设置会话 cookie 安全和 httpOnly答案

【问题标题】：set session cookie secure and httpOnly for LFR_SESSION_STATE_%为 LFR_SESSION_STATE_% 设置会话 cookie 安全和 httpOnly
【发布时间】：2015-10-01 09:37:57
【问题描述】：

环境：

Liferay 6.2 与 Jboss

我们正在尝试实现 httponly 和安全。

为此，我们对圆顶进行了一些更改，如下所示

在 Portal-ext.properties 中添加：
cookie.http.only.names.excludes=

和

在 ROOT.war/WEB-INF/web.xml 中添加了以下属性

     <session-config>
      <cookie-config>
       <http-only>true</http-only>
       <secure>true</secure>
      </cookie-config>
     </session-config>

我可以看到所有会话 cookie 都是 httponly 除了以 LFR_SESSION_STATE_

开头的

谁能建议我们如何处理这个问题。

【问题讨论】：

标签： java jboss liferay-6.2 cookie-httponly

【解决方案1】：

LFR_SESSION_STATE_ 是在客户端而不是在服务器端显式处理的 cookie - 因此它们本质上只能通过 JS 访问。据我所知，它们甚至从未在服务器端持久存在。而且我不希望这些cookies有任何真正的泄漏。在我看来，cookie 是关于确定质量状态“这个帮助项目应该以全文显示还是只是折叠”。

【讨论】：