cookies - 使用 JRun/ColdFusion 强制使用 HttpOnly cookie

Question

我们需要确保 CF7 站点上的所有 cookie 均设置为 HttpOnly。

我们使用 jsessionid 来控制我们的 session ，JRun 不会将其创建为 HttpOnly。

虽然可以修改现有的 cookie 来添加此设置，但我们需要从一开始就将其设置为 HttpOnly。

有什么建议吗？

相关问题:Setting Secure flag for HTTPS cookies.

Answer 1

来自:http://www.petefreitag.com/item/764.cfm

运行 CF 8 或更低版本并使用 Application.cfc

<cfcomponent>
  <cfset this.sessionmanagement = true>
  <cfset this.setclientcookies = false>
  <cffunction name="onSessionStart">
      <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly">
      <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly">
  </cffunction>
<cfcomponent>

确保您已指定 setclientcookies = false。

如果使用Application.cfm

如果您仍在使用 Application.cfm 文件，则可以使用以下内容:

<cfapplication setclientcookies="false" sessionmanagement="true" name="test">
<cfif NOT IsDefined("cookie.cfid") OR NOT IsDefined("cookie.cftoken")>
   <cfheader name="Set-Cookie" value="CFID=#session.CFID#;path=/;HTTPOnly">
   <cfheader name="Set-Cookie" value="CFTOKEN=#session.CFTOKEN#;path=/;HTTPOnly">
</cfif>