博客

为Cookies增加Secure属性

  • Post author:
  • Post category:其他


1 secure属性

当设置为true时，表示创建的 Cookie 会被以安全的形式向服务器传输，也就是只能在 HTTPS 连接中被浏览器传递到服务器端进行会话验证，如果是 HTTP 连接则不会传递该信息，所以不会被窃取到Cookie 的具体内容。

2 HttpOnly属性

如果在Cookie中设置了”HttpOnly”属性，那么通过程序(JS脚本、Applet等)将无法读取到Cookie信息，这样能有效的防止XSS攻击。

为了提高网站安全性，创建的cookie要增加secure属性，但此属性仅限于https协议时，该cookie才能被读取到，因此定义的时候要注意为https协议。

另外，名为jessionId的为Tomcat创建的cookie，应该在server.xml中进行配置

<Connector port="8080"
                connectionTimeout="20000"                URIEncoding="UTF-8"
protocol="org.apache.coyote.http11.Http11NioProtocol"
            secure="true"
                />

增加secure=”true”属性配置即可。

httponly属性，需要在

<Context docBase="web" path="/web" reloadable="false" useHttpOnly="true" sessionCookiePath="/" />

中配置。

sessionCookiePath是修改jsessionid的path的

至于程序中增加属性采用：


Cookie cookie = new Cookie(name, value);
		cookie.setPath("/");
		cookie.setMaxAge(-1);
		if (isHttps)
			cookie.setSecure(true);
		cookie.setHttpOnly(true);
		response.addCookie(cookie);

即可。


版权声明：本文为iteye_1034原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。