我如何在JSF/Richfaces上設置HttpOnly標誌

Question

我想將HttpOnly標誌添加到JSF/richfaces cookie，特別是會話cookie，以提高我的web應用程序的安全級別。有任何想法嗎？

Answer 1

喜歡的東西：

response.setHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly"); 

可能在Java環境中工作。我不知道JSF特定的方式來實現這...對不起

這似乎不是一個簡單的任務在Java中。

Answer 2

有些東西可以讓你在你的servlet引擎中做到這一點。這是尚未發佈的Servlet 3.0規範的一部分。

Answer 3

我懷疑我需要使用一個過濾器來添加一個響應包裝器，它會將這個標記添加到所有的cookie中，當它們被框架添加時。

Answer 4

FacesContext facesContext = FacesContext.getCurrentInstance().getFacesContext(); 

HttpServletResponse response = (HttpServletResponse) facesContext.getExternalContext().getResponse(); 

response.addHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");