jetty - Jetty Maven プラグイン 8.0.0.M3 は Servlet 3 をすべてサポートしていますか?

Question

web.xml に次のものがあります。

<session-config>
  <cookie-config>
    <http-only>true</http-only>
    <secure>true</secure>
  </cookie-config>
  <session-timeout>15</session-timeout>
  <tracking-mode>COOKIE</tracking-mode>
</session-config>

ただし、OWASP の Zed Attack Proxy (https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project) によると、Cookie はまだ httpOnly または secure フラグなしで Spring Security によって設定されています。

同じアプリを Tomcat 7 にデプロイすると、web.xml からのこれらの設定が適用されるように見えます。

Answer 1

解決策:要素を正しい順序に並べます。

<session-config>
    <session-timeout>15</session-timeout>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>