如何從瀏覽器中刪除JSESSIONID cookie，並使用HttpOnly標誌設置

Question

如果我聽起來很糟糕，道歉。

我有一個xyz.war，它執行一些身份驗證並設置一個cookie（使用HttpOnly設置，這樣我就不能通過javascript將其過期），這樣當用戶下次登錄時，會話就會保持。現在，鑑於我有權訪問託管xyz.war的Tomcat，我如何編寫一個可以使用expire/delete cookie的Java程序呢？我可以創建一個java項目的.war並將其託管在同一個Tomcat中，並通過api從客戶端訪問它。

Answer 1

你會使xyz應用程序中的會話無效。由第三方移除（因此能夠中和）cookie會是一個安全漏洞。