Wie konfigurieren Sie den HttpOnly-cookies im tomcat / java-webapps?

Update: JSESSIONID Zeug hier ist
nur für ältere Container. Nutzen Sie bitte
jt ist momentan akzeptierte Antwort, es sei denn,
Sie sind mit < Tomcat 6.0.19 oder < Tomcat
5.5.28 oder einen anderen Behälter, die nicht unterstützt HttpOnly JSESSIONID cookies als config option.

Wenn das setzen von cookies in Ihrer app verwenden

response.setHeader( "Set-Cookie", "name=value; HttpOnly");

Jedoch in vielen webapps, die wichtigsten cookie wird die session-id, die automatisch durch den container als JSESSIONID cookie.

Wenn Sie nur verwenden dieses cookie, können Sie schreiben einen ServletFilter zur re-legen Sie die cookies auf dem Weg nach draußen, zwingt JSESSIONID zum HttpOnly. Auf der Seite im http://keepitlocked.net/archive/2007/11/05/java-and-httponly.aspx http://alexsmolen.com/blog/?p=16 schlägt das hinzufügen des folgenden in einem filter.

if (response.containsHeader( "SET-COOKIE" )) {
  String sessionid = request.getSession().getId();
  response.setHeader( "SET-COOKIE", "JSESSIONID=" + sessionid 
                      + ";Path=/<whatever>; Secure; HttpOnly" );
} 

aber beachten Sie, dass dieser Befehl überschreibt alle cookies und nur einstellen, was Sie hier angeben, in dieser filter.

Wenn Sie verwenden weitere cookies, um das JSESSIONID-cookie, dann wirst du verlängern müssen Sie diesen code, um alle cookies in den filter. Das ist keine tolle Lösung, im Fall von multiple-cookies, aber ist vielleicht eine akzeptable quick-fix für das JSESSIONID-nur setup.

Bitte beachten Sie, dass der code im Laufe der Zeit entwickelt, es gibt eine böse versteckte Fehler warten, wenn Sie vergessen, über diese filter und versuchen Sie es und legen Sie noch ein Plätzchen irgendwo in Ihrem code. Natürlich, es wird nicht festgelegt.

Dies ist wirklich ein hack, aber. Wenn Sie Tomcat verwenden und zusammenstellen kann, dann werfen Sie einen Blick auf Shabaz ausgezeichneten Vorschlag zu patch HttpOnly Unterstützung in Tomcat.

Für session-cookies, es scheint nicht unterstützt zu werden in der Tomcat noch nicht. Siehe bug-report Hinzufügen der Unterstützung für HTTPOnly-session-cookie parameter. Eine etwas beteiligt zu arbeiten, um für jetzt finden hier, die im Grunde läuft manuell zu patchen Tomcat. Kann nicht wirklich einen einfachen Weg finden, es zu tun in diesem moment an diesem Punkt bin ich affraid.

Zusammenfassung der work-around geht es um den Download der 5.5 Quelle, und ändern Sie dann die Quelle in der folgenden Orte:

org.apache.catalina.connector.Request.java

//this is what needs to be changed
//response.addCookieInternal(cookie);

//this is whats new
response.addCookieInternal(cookie, true);
}

org.apache.catalina.connectorResponse.addCookieInternal

public void addCookieInternal(final Cookie cookie) {
addCookieInternal(cookie, false);
}

public void addCookieInternal(final Cookie cookie, boolean HTTPOnly) {

if (isCommitted())
return;

final StringBuffer sb = new StringBuffer();
//web application code can receive a IllegalArgumentException
//from the appendCookieValue invokation
if (SecurityUtil.isPackageProtectionEnabled()) {
AccessController.doPrivileged(new PrivilegedAction() {
public Object run(){
ServerCookie.appendCookieValue
(sb, cookie.getVersion(), cookie.getName(),
cookie.getValue(), cookie.getPath(),
cookie.getDomain(), cookie.getComment(),
cookie.getMaxAge(), cookie.getSecure());
return null;
}
});
} else {
ServerCookie.appendCookieValue
(sb, cookie.getVersion(), cookie.getName(), cookie.getValue(),
cookie.getPath(), cookie.getDomain(), cookie.getComment(),
cookie.getMaxAge(), cookie.getSecure());
}
//of course, we really need to modify ServerCookie
//but this is the general idea
if (HTTPOnly) {
sb.append("; HttpOnly");
}

//if we reached here, no exception, cookie is valid
//the header name is Set-Cookie for both "old" and v.1 ( RFC2109 )
//RFC2965 is not supported by browsers and the Servlet spec
//asks for 2109.
addHeader("Set-Cookie", sb.toString());

cookies.add(cookie);
}

es sollte auch darauf hingewiesen werden, dass ein einschalten HttpOnly brechen applets erfordern stateful-Zugang zurück auf die jvm.

das Applet http-Anfragen wird nicht die jsessionid cookie und kann zugewiesen werden, um eine andere tomcat.

In Tomcat6, kann Man bedingt aktivieren von HTTP-Listener-Klasse:

public void contextInitialized(ServletContextEvent event) {                 
   if (Boolean.getBoolean("HTTP_ONLY_SESSION")) HttpOnlyConfig.enable(event);
}

Verwendung dieser Klasse

import java.lang.reflect.Field;
import javax.servlet.ServletContext;
import javax.servlet.ServletContextEvent;
import org.apache.catalina.core.StandardContext;
public class HttpOnlyConfig
{
    public static void enable(ServletContextEvent event)
    {
        ServletContext servletContext = event.getServletContext();
        Field f;
        try
        { //WARNING TOMCAT6 SPECIFIC!!
            f = servletContext.getClass().getDeclaredField("context");
            f.setAccessible(true);
            org.apache.catalina.core.ApplicationContext ac = (org.apache.catalina.core.ApplicationContext) f.get(servletContext);
            f = ac.getClass().getDeclaredField("context");
            f.setAccessible(true);
            org.apache.catalina.core.StandardContext sc = (StandardContext) f.get(ac);
            sc.setUseHttpOnly(true);
        }
        catch (Exception e)
        {
            System.err.print("HttpOnlyConfig cant enable");
            e.printStackTrace();
        }
    }
}