如何在JSF / Richfaces上设置HttpOnly标志

Question

我想将HttpOnly标记添加到JSF/richfaces Cookie，尤其是会话Cookie，以提高我的网络应用的安全级别。有任何想法吗？

Answer 1

可能有些东西允许你在servlet引擎中执行此操作。这是Servlet 3.0规范的一部分，尚未发布。

Answer 2

FacesContext facesContext = FacesContext.getCurrentInstance().getFacesContext();

HttpServletResponse response = (HttpServletResponse) facesContext.getExternalContext().getResponse();

response.addHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");

Answer 3

类似的东西：

response.setHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");

可能适用于Java环境。我不知道特定于JSF的方法来实现这一点......对不起

这似乎不是Java中的一项简单任务。

Answer 4

我怀疑我需要使用过滤器来添加响应包装器，它会在框架添加时将标志添加到所有cookie中。