java - 使用 Apache 即时向 cookie 添加 HttpOnly 标志？

Question

所以我有一个 java webapp，它使用带有 apache 代理层的 tomcat。我希望从应用程序中设置的所有 cookie 都具有 httpOnly 标志。这个问题是tomcat负责从应用程序端设置标志，它的默认值（在servlet api 2.5中）是false。我希望我可以使用 apache 为所有 cookie 设置这个标志。

我一直在尝试不同的组合，我得到的最接近的是设置传递给 httpOnly 的最后一个 cookie，这当然是错误的：

Header append Set-Cookie "; HttpOnly"

我无法知道将从应用程序传递哪些 cookie/值。这甚至可能吗？

Answer 1

以下 mod_headers 重写的好处是，如果它已经存在，它不会重复HttpOnly，如果这种事情对你很重要：

  Header edit Set-Cookie "(?i)^((?:(?!;\s?HttpOnly).)+)$" "$1; HttpOnly"

看：

• 我最初在哪里找到上述正则表达式
• 解释为什么所有带有否定前瞻断言的括号搜索查找包含或不包含某些单词的行
• 一篇我发现对正则表达式的小改进的帖子（搜索 Header edit Set-Cookie）

Answer 2

尝试以下 mod_headers 指令。

Header edit Set-Cookie ^(.*)$ $1;HttpOnly