java - servlet 设置cookie 安全吗？

Question

javax.servlet.http.Cookie implements java.lang.Cloneable

在 Cookie 方法中，有一个方法叫做“setSecure”，它是做什么用的？如果我 setSecure（true），我需要在客户端（javascript）端做些什么来读取 cookie 吗？set/没有 setSecure 有什么不同？

Answer 1

所做setSecure(true)的只是告诉浏览器只有在使用“安全”协议（如https. 您的 JavaScript 代码不必做任何不同的事情。

Answer 2

是的，这可以确保您的会话 cookie对像中间人攻击这样的攻击者不可见。而不是手动设置您也可以配置您的 web.xml 以自动为您处理它。

<session-config>
   <cookie-config>
      <secure>true</secure>
   </cookie-config>
</session-config>