神秘的HttpSession和session-config依赖

Question

美好的一天。我正在使用Tomcat 7.0开发一个带有Servlets \ JSP的Java Web应用程序。在客户请求期间，我将对象放入会话并使用转发。如果安全参数为false，则在转发处理相同请求后，可以检索该对象，否则它不会存储在会话中。

    <session-config>
        <session-timeout>15</session-timeout>
        <cookie-config>
            <http-only>true</http-only>
            <secure>true</secure>
        </cookie-config>
        <tracking-mode>COOKIE</tracking-mode>
    </session-config>

我已经发现“......可以使用'secure'标志创建cookie，这可以确保浏览器永远不会通过非SSL传输指定的cookie ......”。我已经将Tomcat配置为使用SSL，但这没有帮助。将跟踪模式更改为SSL也没有帮助。在这种情况下，session-config和HttpSession对象如何关联？可能是什么问题？