Configuración de httponly en la cookie JSESSIONID (Java EE 5)

Question

Estoy intentando establecer el indicador httponly en la cookie JSESSIONID. Estoy trabajando en Java EE 5, sin embargo, y no puedo usar setHttpOnly(). Primero traté de crear mi propia cookie JSESSIONID desde el servlet doPost() usando response.setHeader().

Cuando eso no funcionó, probé response.addHeader(). Eso tampoco funcionó. Luego, descubrí que el servlet manejaba convertir la sesión en una cookie JSESSIONID e insertarla en el encabezado http, así que si quiero jugar con esa cookie, tendré que escribir un filtro. Escribí un filtro y jugué con setHeader()/addHeader() allí, de nuevo en vano.

Luego, me enteré de que hay algo de flush/close action en el objeto de respuesta antes de que llegue al filtro, así que si quiero manipular los datos, necesito extender HttpServletResponseWrapper y pasarlo a filterChain.doFilter(). Esto está hecho, pero todavía no estoy obteniendo resultados. Claramente estoy haciendo algo mal, pero no sé qué.

No estoy seguro de si esto es relevante para la pregunta en cuestión, pero el servlet no está devolviendo ningún documento html al navegador. Todo lo que realmente está sucediendo es que algunos objetos se están rellenando y devolviendo a un documento JSP. De alguna manera, he supuesto que el objeto Session se convierte en una cookie JSESSIONID y se envuelve, junto con los objetos agregados a la solicitud, en un encabezado http antes de enviarse al navegador.

Estaré encantado de publicar algún código, pero quiero descartar la posibilidad de que mis dificultades se deriven primero de un malentendido de la teoría.

Answer 1

Dado que la cookie JSESSIONID está gestionada por el servletcontainer, esta configuración es específica del servletcontainer. No está claro cuál está utilizando, así que aquí hay una respuesta específica Apache Tomcat 6.0 para que sepa en qué dirección deberá buscar su servletcontainer: debe establecer el atributo useHttpOnly del elemento <Context> de la aplicación web en true.

<Context useHttpOnly="true"> 
    ... 
</Context> 

también ver este Tomcat documentation sobre el elemento <Context>.

Answer 2

Puede usar esto con Java EE 5:

Para las versiones de Java Enterprise Edition antes de Java EE 6 una solución común es sobrescribir el encabezado de respuesta HTTP Set-Cookie con un valor de la cookie de sesión que añade explícitamente el HttpOnly bandera:

String sessionid = request.getSession().getId(); 
// be careful overwriting: JSESSIONID may have been set with other flags 
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly"); 

Fuente: https://www.owasp.org/index.php/HttpOnly

lo prueba en un filtro