httpOnly Session Cookie + Servlet 3.0 (por ejemplo, Glassfish v3)

Question

De forma predeterminada, Glassfish v3 no establece el indicador httpOnly en las cookies de sesión (cuando se crea como de costumbre con request.getSession()).

Lo sé, hay un método javax.servlet.SessionCookieConfig.setHttpOnly(), pero no estoy seguro, si esa es la mejor manera de hacerlo, y en caso afirmativo, dónde sería el mejor lugar para poner esa línea.

BTW, por supuesto que puede no hacerse en la propia servlet (por ejemplo, en init()):

java.lang.IllegalStateException: PWC1426: 
Unable to configure httpOnly session tracking cookie property for 
servlet context /..., because this servlet context has already been initialized 

---

Generalmente, preferiría usar una opción de configuración, por ejemplo, en web.xml.

Answer 1

Esto es apoyado a través de un Servlet 3.0 web.xml (ver web-common_3_0.xsd):

<web-app> 
    <session-config> 
    <cookie-config> 
     <!--    
     Specifies whether any session tracking cookies created 
     by this web application will be marked as HttpOnly 
     --> 
     <http-only>true</http-only> 
    </cookie-config> 
    </session-config> 
</web-app> 

Answer 2

También puede agregar <secure>true</secure> para aumentar la seguridad.

<session-config> 
    <cookie-config> 
     <http-only>true</http-only> 
     <secure>true</secure> 
    </cookie-config> 
</session-config>