ssl - 安全 session Cookie + Glassfish 3.1

Question

我正在寻找与此类似的解决方案: httpOnly Session Cookie + Servlet 3.0 (e.g. Glassfish v3)

我想关闭 HTTP header :http-only 和 Secure 关闭，以便使用 https 的身份验证可以传递到 http 请求。

但是，1 与另一篇文章有​​关。我没有使用 servlet 3.0。如果某处有关于如何将 intellij 项目从 serverl 2.5 迁移到 3.0 的不错的文档，我可能愿意尝试使用 servlet 3.0。如何使用它似乎并不明显。将我的 maven pom 更改为 javax.servlet 3.0 然后将我的 web.xml 版本编辑为 3.0 不起作用。在 3.0 版本上给出一个方面错误。叹息。

1. 这是我解决此问题的主要方法。我将 default-web.xml 和 domain.xml 的 domains/domain1/config 编辑为我认为可行的内容，但事实并非如此。 Oracle 的文档对我来说似乎不是很清楚。

域名.xml

<web-container>
    <session-config>
      <session-manager> 
        <manager-properties></manager-properties>
        <store-properties></store-properties>
      </session-manager>
      <session-properties>
        <property name="cookieSecure" value="false"></property>
        <property name="cookieHttpOnly" value="false"></property>
      </session-properties>
    </session-config>
      </web-container>

....

<configs>
<config name="server-config">
  <http-service sso-enabled="true">
    <access-log></access-log>
    <virtual-server id="server" sso-cookie-secure="false" sso-cookie-http-only="false" network-listeners="http-listener-1,http-listener-2"></virtual-server>
    <virtual-server id="__asadmin" sso-cookie-http-only="false" network-listeners="admin-listener"></virtual-server>
  </http-service> 

默认-web.xml

    <session-config>
    <session-timeout>60</session-timeout>
        <cookie-config>
                <http-only>false</http-only>
                <secure>false</secure>
        </cookie-config>
        <cookie-properties>
                <property name="cookieSecure" value="false" />
                <property name="cookieHttpOnly" value="false" />
        </cookie-properties>
        <tracking-mode>COOKIE</tracking-mode>
  </session-config>

Answer 1

好吧，我觉得有点傻，但我以前从来没有写过特定的容器来确保我的代码可以跨容器移植。然而，经过一些研究，我发现你可以在 glassfish 下放置一个看起来像这样的 WEB-INF/glassfish-web.xml 文件来控制你对每个 WAR 文件的安全 cookie 设置。

http://blogs.oracle.com/jluehe/entry/ow_to_configure_the_security

    <?xml version="1.0" encoding="UTF-8"?>
        <glassfish-web-app>
            <session-config>
                <cookie-properties>
                    <b><property name="cookieSecure" value="[true|false|dynamic]"/></b>
               </cookie-properties>
           </session-config>
       </glassfish-web-app>