java - 为 spark-java 中的所有 cookie 设置 HttpOnly

Question

我开发了一个网络用户界面来配置设备。为了保护这个达到 OWASP 前 10 名的 UI 并修复 Acunetix 应用程序报告的错误，必须对其进行一些改进。其中之一是为 cookie 设置 HTTP-ONLY。
如何在 java-spark 中更改/设置 cookie 默认属性？

Answer 1

请试试这个:

//set HttpOnly properties for all cookies
for (String key : cookies.keySet()) {
    if (key != null) {
        response.removeCookie(key);
        response.cookie("/", key, cookies.get(key), 200, false, true);
    }
}

请注意，无法通过 spark 更改 jetty 的设置。将此类功能添加到 spark 可以大大简化更改 cookie 相关设置的过程。