如何在tomcat中标记JSESSIONID安全？

【问题标题】：How to mark JSESSIONID secure in tomcat?如何在tomcat中标记JSESSIONID安全？
【发布时间】：2019-11-21 21:45:51
【问题描述】：

我想将我的由tomcat（版本8）生成的JSESSIONID cookie 标记为安全的。我正在使用java 12...

到目前为止我已经尝试过

    <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
    </cookie-config>

在会话配置部分

两者都不起作用..有更好的解决方案吗？

【问题讨论】：

【解决方案1】：

应该维护 2 个标志以避免 Session cookie 劫持（HttpOnly, Secure）

Set-Cookie: JSESSIONID=T8zK7hcII6iNgA; Expires=Wed, 21 May 2018 07:28:00 GMT; HttpOnly; Secure

对于 Servlet 3.0，配置为

<session-config>
    <cookie-config>
      <http-only>true</http-only>
      <secure>true</secure>
    </cookie-config>
</session-config>

【讨论】：

truetrue我已经在 tomcat web.xml 上尝试过这个......仍然 cookie 不安全，您能否详细解释一下 ->“Set-Cookie：JSESSIONID=T8zK7hcII6iNgA；Expires=Wed，2018 年 5 月 21 日 07:28:00 GMT； HttpOnly；安全”
那个http头详细说明
分享您的 web.xml，这将有助于更多地了解问题