如何在Tomcat的Cookie处理器中设置SameSite Cookie？

Question

Tomcat的context.xml定义CookieProcessor （默认的LegacyCookieProcessor）

https://tomcat.apache.org/tomcat-9.0-doc/config/cookie-processor.html

我正在尝试添加cookie处理器上显示的属性，但这似乎不起作用

我没有看到设置了sameSite属性的Tomcat响应标头Cookie

Answer 1

在您的Web应用程序中的META-INF文件夹中，在其中创建一个context.xml文件。

<Context>
   <CookieProcessor sameSiteCookies="strict" />
</Context>

如果您已经有一个context.xml文件，则只需添加CookieProcessor元素。

从Tomcat 9.0.21和8.5.42开始，此行为是可能的。

于2019年5月20日以合并请求162

并入Tomcat master

Answer 2

找到了答案：

1. 编辑tomcat / conf / context.xml
2. 在以下几行中更新CookieProcessor元素，以便在HTTP响应标头的set-cookie中设置SameSiteCookies。

<CookieProcessor className="org.apache.tomcat.util.http.LegacyCookieProcessor" sameSiteCookies="strict" />