Настройка "HttpOnly" и "Безопасный" в web.xml

Question

Мне нужно, чтобы атрибуты 'HttpOnly' и 'Secure' были установлены в 'true', чтобы предотвратить CWE-614: чувствительный файл cookie в сеансе HTTPS без атрибута 'Secure' и CWE-402: передача частных ресурсов в недостатки новой сферы от отображается в отчете Veracode.

После некоторого онлайн-поиска лучше всего просто установить атрибуты в файле web.xml проекта:

<session-config>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
 </session-config>

Тем не менее, я получаю сообщение об ошибке на открывающем теге, в котором говорится, что "содержимое элемента типа"session-config"должно соответствовать"(session-timeout)?").

Я не уверен, что это значит точно. Я предполагаю, что это как-то связано с порядком элементов, но я не знаю, как это исправить.

Какие-нибудь мысли?

Спасибо!

Answer 1

Поддержка атрибутов secure и http-only доступна только в спецификации http-сервлета 3. Проверьте, что атрибут version в вашем web.xml имеет значение "3.0".

<web-app xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
     xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
            http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
     version="3.0">

Answer 2

В версии 4.0 используйтеcookie-configярлык.

      <session-config>
     <cookie-config>
         <http-only>true</http-only>
         <secure>true</secure>
     </cookie-config>
</session-config>