httpOnly 标志无法使用 Apache mod_headers答案

【问题标题】：httpOnly flag not working using Apache mod_headershttpOnly 标志无法使用 Apache mod_headers
【发布时间】：2020-07-10 13:11:30
【问题描述】：

我已经写了this rule 来为每个cookie 添加httpOnly 标志，但结果是。

规则有什么问题？标头编辑 Set-Cookie ^(.*)$ "$1;HttpOnly;Secure"

[编辑] 我尝试在后端进行这种处理，但它使用的是 servlet 2.4 和 jboss4。但是mininum required 是servlet 3.0

【问题讨论】：

我强烈建议保留将任何类型的 cookie 设置为使用脚本语言完成，而不是 Apache。与发展缓慢的编程语言相比，Apache 的更新频率要很多。话虽这么说，但我不建议您在所有事情上都依赖 Apache。
您使用的是哪个后端服务器？此参数仅推荐用于 SSL 连接器。
@Pandurang 我已经编辑了帖子。它是 java6，但问题是 servlet 版本是 2.4
@John 我试过在后端做，但 servlet 版本是一个障碍
我编程 PHP，而不是 Java，但如果两者相似，而不是使用 PHP 的 setcookie 函数，特定于 cookie，我只会使用 PHP 的 header() 函数。 Java 肯定有让你完全定义标题的功能吗？

【解决方案1】：

您要编辑 JSessionID 标头吗？如果是，那么您需要在 Header 中使用相同的确切名称。即

Header always edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure

【讨论】：

我希望每个 cookie 都被标记为 httpOnly
您可以参考stackoverflow.com/questions/29146465/… 配置JBoss 4.0.* 以使会话cookie HttpOnly 和安全。
我尝试修改XML文件吃了Jboss4，没有成功
你想为哪个cookie设置HttpOnly？ JessionId 还是其他？ JBoss 生成一个默认的 JSessionID cookie。你在代码中生成cookie吗？如果是，那么您需要在代码级别添加 httponly
适用于所有 cookie。但我更想知道为什么 Apache 策略不起作用