为HttpOnly和Secure设置了JSESSIONID

Question

我们有一个tomcat实例通过SSL nginx代理服务HTTP。我们按如下方式设置连接器的设置：

connectionTimeout="20000"
redirectPort="8443"
compression="on"
compressionMinSize="2048"
scheme="https"
secure="true"
proxyPort="443"           
compressableMimeType="text/html,text/xml,text/plain,text/css,text/javscript,application/javascript,application/json"

在HttpOnly和SSL上都创建了JSESSIONID cookie。我们希望仅将其限制为SSL，我们似乎无法弄清楚Java中会话cookie创建背后的逻辑。任何提示都将非常感激。

Answer 1

HttpOnly cookie attribute有点误导性地命名：它的真正含义是“不要让这个cookie被客户端脚本读取”。 不与Secure属性相反，实际上，为您希望服务器只能通过HTTPS读取的敏感cookie设置两个属性是非常好的做法。