session - 謎の HttpSession と session-config の依存関係

Question

良い一日。Tomcat 7.0 を使用して Servlets\JSP で Java Web アプリを開発しています。クライアントからのリクエスト中に、セッションにオブジェクトを入れて転送し、使用します。同じリクエストを転送処理した後、secure パラメータが false の場合、オブジェクトを取得できます。それ以外の場合は、セッションに保存されません。

    <session-config>
        <session-timeout>15</session-timeout>
        <cookie-config>
            <http-only>true</http-only>
            <secure>true</secure>
        </cookie-config>
        <tracking-mode>COOKIE</tracking-mode>
    </session-config>

「... cookie は「セキュア」フラグを使用して作成できます。これにより、ブラウザは指定された cookie を非 SSL 経由で送信しないようになります...」. SSL を使用するように Tomcat を構成しましたが、うまくいきません。トラッキング モードを SSL に変更しても効果はありませんでした。この場合、session-config と HttpSession オブジェクトはどのように相関しますか? 何が問題なのですか？