httponly - 在已部署的 OC4J/Oracle 应用服务器中强制使用 HttpOnly JSESSIONID

Question

我们有一个使用 OC4J 容器在 Oracle 应用服务器 J2EE 10g 10.1.3.5.0 上运行的旧应用程序。要清除 Veracode 动态扫描缺陷 CWE ID-402(以及最佳实践)，我们需要在 JSESSIONID cookie 上设置 HttpOnly 标志。我们找到了系统属性的文档，尽管很少:

-Dhttp.response.httponly=true

据说这支持这一点。 (此处有关所有受支持属性的一些详细信息，尽管您可能希望通过翻译器运行它:https://volbers.wordpress.com/2011/06/24/secrets-of-the-oc4j/)

然而，我们发现，虽然此属性在独立的 OC4J 实例中工作(例如，在 Eclipse 中运行)，但在部署时它不起作用根据美洲国家组织/OPMN。我们甚至尝试使用反射来查找 HTTP_RESPONSE_HTTPONLY 的 Evermind OC4JProperty，并能够以编程方式将其设置为 true。然而，同样的行为随之而来:在已部署的容器中运行时，某些东西忽略了该属性。

有谁知道如何在部署环境中使其工作？

仅供引用，以下是 OC4J 自己对此属性的描述:

% java -jar /oas/j2ee/home/oc4j.jar -describeProperty http.response.httponly

Property name: http.response.httponly
Description: Used to prevent cross-site scripting attack
Default value: false
Primitive type: Boolean
Deprecated: false
Log value change: false
Is static: false

Answer 1

尝试将以下内容添加到您的 orion-web.xml

<session-tracking cookie-path="/pathtoyourapp; HttpOnly"/>