問題タブ [httponly]

WebBrowser ログイン Cookie を取得し、最終的に Cookie をHttpWebRequest. それらはそのクッキーwebBrowser1.Document.Cookieよりも少なくなります。HttpOnly方法 WebBrowser HttpOnly は Cookie ですか?

開発言語はC#

つい最近、Web2.4からWeb3.0に移行しました。この移行の要件の1つは、アプリケーションに「httponly」Cookieを導入する必要があるということでした。そこで、次のsessionconfig要素をweb.xmlに追加しました

上記のsessionconfigをweb.xmlに追加すると、予期しないタイムアウトが発生します。アプリケーションにログインできますが、その後、他の何かをクリックすると、「SessionExpired」というメッセージが表示されます。私は何か間違ったことをしていますか？どんな助けでも大歓迎です

grails 2.0 + jetty 7.6.6 を実行しており、JSESSIONID Cookie を httpOnly に設定する必要があります。stackoverflow に関するすべての回答は、Servlet 3.0 (jetty 8 が必要) または tomcat を参照しているようです。jetty 7.x で JSESSIONID Cookie を httpOnly に設定する明確な方法を教えてくれる人はいますか?

次の内容の jetty-web.xml ファイルを追加しようとしましたが、まだ機能しませんでした (つまり、JSESSIONID が httpOnly としてマークされていませんでした)。

スレッドで見たtomcat / Java webapps で HttpOnly Cookie を設定するにはどうすればよいですか? Tomcat 5.5.(>28) は、要素で指定されたベンダー固有のuseHttpOnly属性をサポートするはずです。<Context>

この属性を、server.xml で構成されたすべてのコンテキストに追加しました。

ただし、 のみフラグJSESSIONIDが追加されました。"; httpOnly"他のすべての Cookie は、追加する前とまったく同じuseHttpOnly="true"です。

他に変更する必要があるものはありますか?

(Tomcat 6 または 7 へのアップグレードは、現時点ではオプションではありません。当社のシステムは、Tomcat 5.5 に基づくサードパーティのフレームワークを使用しています)

私は JBoss 7 を使用しており、次のように web.xml でセッション構成を構成しています。

ただし、私のサーブレットでは、次のように現在のセッションを取得しようとすると nullpointerexception が発生します。

何か不足していますか？

「」を報告したjboss5にデプロイされたアプリケーション（strutsおよびhibernateフレームワークに組み込まれている）のWebスキャンを実行しましたSet-cookie does not use HTTPOnly keyword. The web application does not utilize HTTPOnly cookies。どういう意味ですか。投稿を探して、jに1行追加しましたboss/deploy/jbossweb.sar/context.xml。

それを設定した後、アプリケーションの実行中にエラーが発生します。
不足している構成はありますか？

httpOnlyクライアント側で Cookie が作成されないように、web.xml ファイルでパラメータ true を設定しています。これにより、Cookie の値が読み取られます。次の方法を使用して、GWT で JSESSIONID Cookie を読み取ります。

これは未定義Httponly=trueを返します.web.xmlの属性を削除すると、正常に機能し、Cookieが返されます。

HttpOnly true で Cookie JSESSIONID Cookie を取得する方法を提案してください。

私がオンラインで読んだすべてのものから、このような web.config は、ASP.NET 2.0 で HttpOnly Cookie を有効にする必要があります。ただし、これは機能していません。

私が見逃しているものは他にありますか？この件に関する多くの投稿を見てきましたが、Cookie は HttpOnly として表示されません (または、requireSSL="true" をタグに追加すると安全になります)。

IIS 7.0 を使用しています。

編集：

すべての Cookie をカバーするために、ルート レベルの web.config でこれを設定しようとしています。ASPページのFirebugのCookieと、一部の「HttpOnly」が空であることを示す緑色のテキストが表示される「HttpOnly」セクションを見ています。

例：

Play！を使用してアプリケーションを開発しています。1.2.5およびGoogleAppEngineへのデプロイ。application.confで、セッションCookieをhttpOnlyで安全に設定しました。

ローカルでリクエストを実行すると、ヘッダーが正しく設定されていることがわかります。

Google App Engineにデプロイすると、設定されているCookieにSecureフラグまたはHTTPOnlyフラグが表示されません。どうして？

オンラインで同様の問題を見つけることができません。私が読んだ最も近いものは、GAEがresponse.setHttpOnly（または同様のもの）をサポートしていないが、Playからのものでした！ソースコードhttpOnly値がブール値に設定されて応答に書き込まれる単純なCookieが作成されているのを見ることができます。GAEがこれを受け入れない理由がわかりません。

ありがとう！

この SO 投稿を読んだ後、私も ASPSESSIONID[random-string-here] Cookie をクラシック ASP ページの HttpOnly に設定する必要があります。しかし、IIS 5.

それで、私のオプションは何ですか？私はこれらの Cookie を生成していません。自動生成されているようです。変更できる IIS 5、グローバル、web.config 設定はありますか?