Question

安全报告发布后，我被要求提供安全的会话cookie。

我正在使用pyramid_beaker.session_factory_from_settings（）并且很幸运（？）能够使用('session.httponly', True)设置httponly，但('session.secure', True)不提供第二个选项。

有可能吗？

指向不同session.*设置的指针也非常受欢迎。

编辑：我在beaker.utils.coerce_session_params()

中找到了一个列表

感谢。

编辑：我想我遇到了问题。我在开发中使用：

        http_server = simple_server.make_server('0.0.0.0', no_port, app)
        http_server.serve_forever()

，因此我没有发送cookie，因为我不在HTTPS中。我需要为此设置一个HTTPs服务器。

Answer 1

对不起，这里有问题吗？听起来你回答了原来的问题，现在正在考虑让开发设置在https下工作吗？就个人而言，我倾向于只在我的登台服务器（nginx处理证书）上担心，但在我的本地开发。我不会使cookie安全。