为Cookies增加Secure属性

阅读更多

1 secure属性
当设置为true时，表示创建的 Cookie 会被以安全的形式向服务器传输，也就是只能在 HTTPS 连接中被浏览器传递到服务器端进行会话验证，如果是 HTTP 连接则不会传递该信息，所以不会被窃取到Cookie 的具体内容。
2 HttpOnly属性
如果在Cookie中设置了"HttpOnly"属性，那么通过程序(JS脚本、Applet等)将无法读取到Cookie信息，这样能有效的防止XSS攻击。

为了提高网站安全性，创建的cookie要增加secure属性，但此属性仅限于https协议时，该cookie才能被读取到，因此定义的时候要注意为https协议。
另外，名为jessionId的为Tomcat创建的cookie，应该在server.xml中进行配置

增加secure="true"属性配置即可。
httponly属性，需要在

中配置。
sessionCookiePath是修改jsessionid的path的
至于程序中增加属性采用：

Cookie cookie = new Cookie(name, value);
		cookie.setPath("/");
		cookie.setMaxAge(-1);
		if (isHttps)
			cookie.setSecure(true);
		cookie.setHttpOnly(true);
		response.addCookie(cookie);

即可。