Jetty Maven Plugin 8.0.0.M3 是否支持所有 Servlet 3？答案

【问题标题】：Does the Jetty Maven Plugin 8.0.0.M3 support all of Servlet 3?Jetty Maven Plugin 8.0.0.M3 是否支持所有 Servlet 3？
【发布时间】：2012-09-07 04:56:21
【问题描述】：

我的 web.xml 中有以下内容：

<session-config>
  <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
  </cookie-config>
  <session-timeout>15</session-timeout>
  <tracking-mode>COOKIE</tracking-mode>
</session-config>

然而，根据 OWASP 的 Zed 攻击代理 (https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project)，Cookie 仍由 Spring Security 设置，没有 httpOnly 或安全标志。

如果我在 Tomcat 7 中部署相同的应用程序，它似乎支持 web.xml 中的这些设置。

【问题讨论】：

想通了 - 我的元素顺序错误。 Tomcat 或 Jetty 没有错误，但 GlassFish 抱怨并帮助我找到了解决方案。
我无法让 Jetty 8 尊重跟踪模式（使用 Maven 插件 org.mortbay.jetty:jetty-maven-plugin:8.1.4.v20120524） - 即使请求。 getServletContext().getEffectiveSessionTrackingModes() 只是 COOKIE，如果我禁用 cookie，我仍然会在 URL 中获得 jsessionid。你明白了吗？

标签： jetty maven-jetty-plugin servlet-3.0

【解决方案1】：

解决方案：将元素按正确的顺序排列：

<session-config>
    <session-timeout>15</session-timeout>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

【讨论】：