How do you configure HttpOnly cookies in tomcat / java webapps?

在Tomcat中配置HttpOnly Cookie主要有几种方法，以下将逐一说明，并提供具体的配置步骤和示例。

1. 在web.xml中全局配置

为了提高Web应用程序的安全性，可以在部署描述符文件web.xml中配置，使所有的cookie默认都是HttpOnly。

步骤:

1. 打开Web应用的WEB-INF文件夹下的web.xml文件。
2. 添加<session-config>标签，如果已存在，则在内部添加<cookie-config>。

示例:

xml
<web-app ...>
    ...
    <session-config>
        <cookie-config>
            <http-only>true</http-only>
        </cookie-config>
    </session-config>
    ...
</web-app>

这种方法配置后，部署到该Tomcat服务器上的所有Web应用，其产生的Session ID cookie等都将自动加上HttpOnly标记，增强了cookie的安全性。

2. 在Context级别配置

如果只希望对特定的应用进行配置而不影响其他应用，可以在该应用的context.xml中进行设置。

步骤:

1. 找到或创建应用的META-INF/context.xml文件。
2. 添加或修改<Context>标签的useHttpOnly属性。

示例:

xml
<Context useHttpOnly="true">
    ...
</Context>

这样设置后，只有特定的应用会使用HttpOnly标记，其他应用不受影响。

3. 编码时指定HttpOnly

在开发应用时，也可以在代码中显式设置cookie的HttpOnly属性。

Java代码示例:

java
Cookie cookie = new Cookie("user", "username");
cookie.setHttpOnly(true);
response.addCookie(cookie);

通过这种方式，可以灵活控制哪些cookie需要HttpOnly标记，适用于需要对cookie安全性进行细粒度控制的情况。

结论

以上是在Tomcat中配置HttpOnly Cookie的三种主要方法。根据应用的需求和部署环境的不同，可以选择最合适的方法来增强应用的cookie安全性。在实际工作中，推荐在全局（web.xml）或Context级别（context.xml）进行配置，以便管理和维护。同时，在编写代码时，也可以根据需要对个别cookie进行更精细的控制。