问题标签 [httponly]

所以，基本上我想要的是与 httponly cookie 完全相反的东西。我想通过 JavaScript 在浏览器中设置一个 cookie，并且只能通过 JavaScript 检索它。这意味着，cookie不会发送到服务器。

用例是 JS 应用程序通过未加密的 http 连接提供服务。这意味着 cookie 也未加密发送到服务器，并且可以被嗅探。

我们有一个 Web 小程序，它在 URL https://secure-ausomxeja.crmondemand.com/OnDemand/下加载……我们在同一个域中进行 Web 服务调用（https://secure-ausomxeja.crmondemand .com/Services/Integration) 使用 JQuery。我们无法理解这样一个事实，即 JSessionId（一个 httponly cookie）没有在 JQuery Web 服务调用中传递，即使所有事情都发生在同一个域中。有趣的是，如果 Web 服务 URL 以https://secure-ausomxeja.crmondemand.com/OnDemand/ ... 开头（虽然不正确），浏览器会正确传递 cookie。

问题是，对于要发送回服务器的 httponly cookie，是否足以具有相同的域，甚至还需要第一个目录的名称（在我们的例子中是 OnDemand）？

下面是不通过 JSessionId cookie 的代码片段-

下面是传递 JSessionId cookie 的代码片段（但没有意义，因为该位置没有可用的 Web 服务） -

我的本地主机上有 Tomcat 服务器，部署服务器上有 Jetty。我使用 Spring 2.5 和 Spring Security 2.0（Servlet 是 2.5）。我想保护我们用户的会话 ID。我已经使用这些指令将 Tomcat 设置为使用 HttpOnly cookie。

一切正常（在tomcat上）。现在我想在 Jetty 上做类似的事情。是否可以？或者是否可以仅在应用程序上下文中管理它？

非常感谢你。

我在创建 HttpOnly Cookies 时遇到问题，我使用以下代码创建新 cookie：

问题是最终结果始终是 : False，尽管 HttpOnly 属性设置为True。
谁能给我解释一下解决这个问题的方法？
谢谢

在我的 asp.net mvc web.config 文件中，我设置了以下内容...

在我的开发机器和实时服务器上一切正常，但在登台服务器上，会话根本不起作用。有一些代码依赖于会话中有一个值，它总是响应它找不到它。

属性如何以这种方式影响服务器配置？

干杯，伊恩。

我在 Sof链接上找到了这个解决方案， 但我不得不从两个原因改变它：

1. 没有 .getFacesContext() 函数
2. 我没有特定的 cookie 文件（见 ourcookiename=yourcookievalue 行）

我的代码如下所示：

原始代码

如果我错了，请纠正我。先感谢您

我一直在尝试应用问题跟踪器中提供的要点来在 Authlogic cookie 上添加安全和 httponly 选项和方法，但我遇到了一些困难。我应用了补丁并获得了新属性以显示在我的 cookie 中，我希望它们默认设置，所以我尝试使用补丁注释中建议的第二种方法来设置它们

然而，Rails 抱怨“httponly”和“secure”方法不存在。从评论看来，其他任何人都没有遇到这个问题，我也找不到任何其他文档。我错过了什么吗？

是的，这应该很有趣。

我正在开发一个使用 Fusebox 5.5 构建并使用 iFrame 的网站。我最近的任务是将网站转换为 Application.cfc 并将我们用于网站上的谷歌索引的 cookie 设置为 HTTPonly，如下所述：http ://www.petefreitag.com/item/764.cfm 。该应用程序在 CF8 上运行。

我遇到的问题是在用户登录网站后，会话数据是在登录过程之后设置的，然后触发熔断器来加载包含“frame-buster”功能的主页，以打破网站用于登录和加载主页的内部 iframe。执行此操作时，IE 会丢弃会话，并且在加载页面的其余部分时，会进行另一次检查，发现会话丢失并强制重定向回主页。在 IE 中使用时，每个 javascript 重定向都会创建一个新会话。在 Firefox 或 Chrome 中不会出现此问题。

这是 frame-buster 函数，在 body 标签中作为 onLoad 触发：

这是 onSessionStart 函数：

如果我注释掉 HTTPOnly cookie 并改用当前注释掉的 CFCookie 代码，IE 不会尝试创建多个会话。

设置 http-only 我在 web.xml 中使用了这个

但它没有设置http-only。任何人都可以建议，可能是什么问题。以及如何设置它。

谢谢。

我将 Tomacat6.0.33 用于我的 java web 应用程序。我在 context.xml 中设置了 http-only 并且它起作用了。但是有没有其他方法可以通过编码来设置它。

谢谢