java如何在JSF/Richfaces上设置HttpOnly标志

Question

我想将HttpOnly标志添加到JSF/richfacescookie，特别是会话cookie，以提高我的web应用程序的安全级别。有什么想法吗

Answer 1

可能有一些东西允许您在servlet引擎中执行此操作。这是Servlet 3.0规范的一部分，该规范尚未发布

Answer 2

FacesContext facesContext = FacesContext.getCurrentInstance().getFacesContext();

HttpServletResponse response = (HttpServletResponse) facesContext.getExternalContext().getResponse();

response.addHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");

Answer 3

比如：

response.setHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");

可能在Java环境中工作。我不知道有什么JSF特定的方法来实现这一点。。。抱歉

在Java中，这似乎不是一项容易的任务

Answer 4

我怀疑我需要使用一个过滤器来添加一个响应包装器，该包装器将在框架添加所有cookie时向它们添加标志