Configurando una cookie httponly con javax.servlet 2.5

cookies cookie-httponly

Question

Aquí hay una función que establece una cookie:

public void addCookie(String cookieName, String cookieValue, Integer maxAge, HttpServletResponse response) {
    Cookie cookie = new Cookie(cookieName, cookieValue);
    cookie.setPath("/mycampaigns");
    cookie.setSecure(isSecureCookie);
    cookie.setMaxAge(maxAge);
    response.addCookie(cookie);
}

Creo en el servlet 3.0, hay una manera de hacerlo directamente. Desafortunadamente, mi organización usa 2.5 y la ACTUALIZACIÓN en este momento NO ES UNA OPCIÓN.

¿Hay alguna forma de utilizar la respuesta para configurar la cookie? Aquí hay un ejemplo que encontré en línea

response.setHeader("SET-COOKIE", "[SOME STUFF]" +"; HttpOnly")

Si esta es la única forma de hacer lo que quiero, ¿con qué reemplazaría "[ALGUNAS COSAS]" con el fin de no perder ninguno de los datos que mi función almacena actualmente en la cookie?

Answer 1

Este código funciona sin utilizar response.setHeader() :

public void addCookie(String cookieName, String cookieValue, Integer maxAge, HttpServletResponse response) {  
    Cookie cookie = new Cookie(cookieName, cookieValue);
    cookie.setPath("; HttpOnly;");
    cookie.setSecure(isSecureCookie);
    cookie.setMaxAge(maxAge);
    response.addCookie(cookie);
}

Answer 2

Para Servlet API 2.5, puedes usar

response.addHeader("Set-Cookie","name=value; HttpOnly");

Tenga cuidado con el uso de response.setHeader () porque elimina todas las demás cookies, por ejemplo, la cookie JSESSIONID.

Answer 3

Para las versiones de Java Enterprise Edition anteriores a JEE 6, digamos Servlet 2.5, puede encontrar una solución here desde OWASP. A continuación se muestra un ejemplo:

    /**
     * Issue a cookie to the browser
     * 
     * @param response
     * @param cookieName
     * @param cookieValue
     * @param cookiePath
     * @param maxAgeInSeconds
     */
    public static void issueCookieHttpOnly(HttpServletResponse response, 
            String cookieName, 
            String cookieValue, 
            String cookiePath, 
            long maxAgeInSeconds) {

        Date expireDate= new Date();
        expireDate.setTime (expireDate.getTime() + (1000 * maxAgeInSeconds));
        // The following pattern does not work for IE.
        // DateFormat df = new SimpleDateFormat("dd MMM yyyy kk:mm:ss z");

        // This pattern works for Firefox, Chrome, Safari and Opera, as well as IE.
        DateFormat df = new SimpleDateFormat("EEE, dd-MMM-yyyy kk:mm:ss z");
        df.setTimeZone(TimeZone.getTimeZone("GMT"));
        String cookieExpire = df.format(expireDate);

        StringBuilder sb = new StringBuilder(cookieName);
        sb.append("=");
        sb.append(cookieValue);
        sb.append(";expires=");
        sb.append(cookieExpire);
        sb.append(";path=");
        sb.append(cookiePath);
        sb.append(";HttpOnly");

        response.setHeader("SET-COOKIE", sb.toString());
    }

Answer 4

Si no quieres hardcode HttpOnly; o no te gusta agregar encabezado, usa apache shiro como este:

void addCookie(javax.servlet.http.Cookie httpCookie,
               HttpServletRequest request,
               HttpServletResponse response) {
    org.apache.shiro.web.servlet.Cookie cookie =
                 new org.apache.shiro.web.servlet.SimpleCookie(httpCookie.getName());

    cookie.setValue(httpCookie.getValue());
    cookie.setPath(httpCookie.getPath());
    // set other stuff from the original httpCookie
    cookie.setHttpOnly(true);

    cookie.saveTo(request, response);
}

Answer 5

Si no quieres usar:

response.addHeader("Set-Cookie","name=value; HttpOnly");

entonces puedes usar el siguiente código en el servlet 2.5 . Funcionará perfecto en chrome , firefox e IE11 .

Cookie cookie = new Cookie(cookieName, cookieValue);

cookie.setPath(";Path=/;HttpOnly;");
cookie.setSecure(isSecureCookie);
cookie.setMaxAge(maxAge);

response.addCookie(cookie);

Nota : Como sabe, no tenemos el método setHttpOnly() en la versión de servlet 2.5 , por lo que en lugar de esto puede usar:

setPath(";Path=/;HttpOnly;");

creará una cookie con la ruta " / " y creará la cookie como HttpOnly

Answer 6

Spring hace esto utilizando la reflexión sin romper en los contenedores servlet 2.5.

Method setHttpOnlyMethod = ReflectionUtils.findMethod(Cookie.class, "setHttpOnly", boolean.class);
if (setHttpOnlyMethod != null) {
    ReflectionUtils.invokeMethod(setHttpOnlyMethod, cookie, Boolean.TRUE);      
}

Sin embargo, el método setHttpOnly solo está disponible en Servlet 3.0 solo en adelante.

Answer 7

Tienes razón, la configuración manual del encabezado es la forma correcta de lograr tu objetivo.

También puede usar javax.ws.rs.core.NewCookie o cualquier otra clase con un método toString útil para imprimir una cookie en un encabezado para hacer las cosas más simples.

public static String getHttpOnlyCookieHeader(Cookie cookie) {

    NewCookie newCookie = new NewCookie(cookie.getName(), cookie.getValue(), 
            cookie.getPath(), cookie.getDomain(), cookie.getVersion(), 
            cookie.getComment(), cookie.getMaxAge(), cookie.getSecure());

    return newCookie + "; HttpOnly";
}

Y el uso:

response.setHeader("SET-COOKIE", getHttpOnlyCookieHeader(myOriginalCookie));

Answer 8

Cookie cookie = new Cookie("JSESSIONID", session.getId());
cookie.setPath("/");
cookie.setMaxAge(-1);
response.addCookie(cookie);

En realidad, en mi caso, este código no funciona exactamente.
Los valores de ruta no son "/"

Pero agregue esta cookie.setComment("; HttpOnly;"); ¡funciona bien!