java - 如何从设置了 HttpOnly 标志的浏览器中删除 JSESSIONID cookie

Question

抱歉，如果我听起来不好。

我有一个xyz.war，它会进行一些身份验证并设置一个cookie(设置了HttpOnly，这样我就不能通过javascript使其过期)，这样当用户登录时-in 表示下次 session 保持。现在，假设我可以访问托管 xyz.war 的 Tomcat，我如何编写一个可以使 cookie 过期/删除 的 Java 程序？我可以创建 java 项目的 .war 并将其托管在同一个 Tomcat 中，并通过 api 从客户端访问它。

Answer 1

您将使 xyz 应用程序中的 session 无效。由第三方删除(从而能够修改)cookie 将是一个安全漏洞。