在Spring MVC Controller中创建的cookie上设置http-only

Question

我需要限制对包含会话令牌的cookie的访问权限，以便javascript无法访问它。 给出的建议是在cookie上设置Secure和HttpOnly标志。

使用@ResponseBody时我没有设置cookie，所以我在HandlerInterceptor中设置了cookie。

public class COOKIEFilter implements org.springframework.web.servlet.HandlerInterceptor  {

    @Override
    public boolean preHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object o) throws Exception {

        Cookie cookie = new Cookie("timestamp", new Long(new Date().getTime()).toString());
        cookie.setSecure(true);
        // how do I set the http-only flag?
        httpServletResponse.addCookie(cookie);

        return true;
    }

如Chrome控制台所示，安装已设置，但不是HTTP

我已经尝试在servlet 3.0 sepcification下向web.xml添加参数，允许在会话cookie上设置安全和http-only，但是因为我需要自己处理会话（Spring MVC应用程序需要保持无状态） ，这对我不起作用。

更新

我正在使用Tomcat7，目前使用的是Servlet 2.5和Spring 3.2.8。

Answer 1

可以将其设置为cookie.setHttpOnly(true)，就像安全一样。

Answer 2

您需要将HttpOnly设置如下：

Cookie cookie = new Cookie("timestamp", new Long(new Date().getTime()).toString() + ";HttpOnly");

需要遵循cookieName=cookieValue;HttpOnly;Secure格式

Answer 3

替换：

 Cookie cookie = new Cookie("timestamp", new Long(new Date().getTime()).toString());

以下

Cookie cookie = new Cookie("timestamp", new Long(new Date().getTime()).toString()+";HttpOnly");

这可能有用。