问题标签 [httponly]

我想通过 WebBrowser 登录 cookie 并最终将 cookie 发送到HttpWebRequest. 他们webBrowser1.Document.Cookie得到的比HttpOnly那个饼干少。方式WebBrowser HttpOnly 一个cookie？

开发语言为 C#

就在最近，我从 web 2.4 迁移到了 web 3.0。此迁移的要求之一是，我需要在我的应用程序中引入“httponly”cookie。因此，我将以下 sessionconfig 元素添加到我的 web.xml

将上述 sessionconfig 添加到我的 web.xml 中会导致意外超时。我可以登录到我的应用程序，但之后当我点击其他任何内容时，我会被踢出一条消息，上面写着“会话已过期”。我做错什么了吗？任何帮助将非常感激

我们正在运行 grails 2.0 + jetty 7.6.6，需要将 JSESSIONID cookie 设置为 httpOnly。stackoverflow 上的所有答案似乎都指向 Servlet 3.0（需要码头 8）或 tomcat。任何人都可以为我提供一个明确的方法，将 JSESSIONID cookie 设置为 httpOnly for jetty 7.x？

我尝试添加包含以下内容的 jetty-web.xml 文件，但它仍然不起作用（即 JSESSIONID 未标记为 httpOnly）：

我在线程上看到了How do you configure HttpOnly cookies in tomcat / java webapps? Tomcat 5.5.(>28) 应该支持元素useHttpOnly中指定的供应商特定属性<Context>。

我将此属性添加到我的 server.xml 中配置的所有上下文中。

但是，只有JSESSIONID附加了"; httpOnly"标志。所有其他 cookie 与我添加之前的完全一样useHttpOnly="true"。

还有什么我需要改变的吗？

（升级到 tomcat 6 或 7 目前不是一个选项。我们的系统使用基于 tomcat 5.5 的第三方框架）

I am using JBoss 7 and I have configure my session config in web.xml as follows:

However, in my servlet, i am getting a nullpointerexception when I try to retrieve the current session as follows:

Am I missing anything?

我已经对部署在 jboss 5 中的应用程序（内置 struts 和休眠框架）进行了网络扫描，报告了“ Set-cookie does not use HTTPOnly keyword. The web application does not utilize HTTPOnly cookies”。这是什么意思。boss/deploy/jbossweb.sar/context.xml我找了一些帖子，只是在我的 j中添加了一行

设置后，我在运行应用程序时遇到错误。
有没有我遗漏的配置？

我们httpOnly在 web.xml 文件中设置参数 true 以防止在客户端创建 cookie。这导致读取 cookie 值。我们使用以下方式读取 GWT 中的 JSESSIONID cookie。

这返回未定义。如果我删除Httponly=trueweb.xml 中的属性，它的工作正常并返回一个 cookie。

任何人都可以建议一种使用 HttpOnly true 获取 cookie JSESSIONID cookie 的方法。

从我在线阅读的所有内容来看，像这样的 web.config 应该在 ASP.NET 2.0 中启用 HttpOnly cookie。但是，这是行不通的。

还有什么我想念的吗？我看过很多关于这个主题的帖子，但是 cookie 不会显示为 HttpOnly（或者安全，如果我将 requireSSL="true" 添加到标签）。

我正在使用 IIS 7.0。

编辑：

我试图在根级别的 web.config 中设置它以覆盖所有 cookie。我正在查看 ASP 页面上 Firebug 中的 cookie，并且应该有绿色文本的 'HttpOnly' 部分显示 'HttpOnly' 对于其中一些是空的。

例子：

我们正在使用 Play 开发应用程序！1.2.5 并部署到 Google App Engine。在 application.conf 中，我将会话 cookie 设置为 httpOnly 且安全：

当我在本地触发请求时，我可以看到标头设置正确：

当我部署到 Google App Engine 时，我在设置的 cookie 上看不到任何 Secure 或 HTTPOnly 标志。怎么来的？

我在网上找不到类似的问题。我读到的最接近的东西是 GAE 不支持 response.setHttpOnly （或类似的东西），但来自 Play！源代码我可以看到一个简单的 Cookie 正在创建，其中 httpOnly 值设置为布尔值并写入响应。不知道为什么 GAE 不接受这一点。

谢谢！

在阅读了这篇 SO 帖子后，我也需要将 ASPSESSIONID[random-string-here] cookie 设置为经典 ASP 页面的 HttpOnly。但是，在 IIS 5 中。

那么，我有哪些选择？我没有生成这些 cookie，它们似乎是自动生成的。是否有我可以更改的 IIS 5、全局、web.config 设置？