java - 我如何在 Vaadin 中禁用 HttpOnly cookie？

Question

我已经在 Vaadin 中设置了 cookie，并尝试从在不同服务器上运行的另一个应用程序获取它，但我无法获取我在 Vaadin 中设置的 cookie？

我们需要禁用 httpOnly cookie。

谁能帮我“如何解决这个问题？”

Answer 1

在 header Set-Cookie 中设置的 cookie。要获取它，您可以使用以下代码:

URLConnection urlConnection = new URL("url-of-your-web-app-here").openConnection();
List<String> cookiesList = urlConnection.getHeaderFields().get("Set-Cookie");

您可以通过删除 HttpOnly 手动删除标志:

response.setHeader( "Set-Cookie", "name=value; HttpOnly");

如果您在 Servlet 3.0 或更新的环境中工作，请按如下方式配置您的 web.xml:

<session-config>
   <cookie-config>
      <http-only>false</http-only>
   </cookie-config>
</session-config>

注意。 HttpOnly 标志是一个附加标志，用于防止 XSS(跨站点脚本)攻击获得对 session cookie 的访问权限。

另请参阅:

• URLConnection
• XSS
• HttpOnly cookie