cookie - httpsession java

¿Cookie http solo con seguridad de primavera y servlet 2.5?

Question

Quiero que mi cookie sea segura y solo solicite http.

He visto muchos mensajes como este y parecen funcionar bien, pero usando archivos de configuración y servlet +3.

Lo que básicamente quiero hacer es configurar mi cookie http solo y (si es posible) también ssl.

Hasta ahora he agregado esto a mi web.xml

 <session-config>
<session-timeout>60</session-timeout>
<cookie-config>
<http-only>true</http-only>
</cookie-config>
<tracking-mode>COOKIE</tracking-mode>
</session-config>

no hace nada, por lo que estaba leyendo, también tengo que configurar mi servlet.xml para habilitar esta característica, pero no sé cómo ...

¿Alguna idea de cómo hacer esto?

EDITAR:

Como estoy utilizando servlets 2.5, la configuración xml no es una opción, ¿quizás un filtro?

Answer 1

Creo que te falta la etiqueta de seguridad. Prueba agregar:

<secure>false</secure>

Answer 2

Los cambios context.xml mencionados por javagc solo reconfigurarán su cookie de sesión.

Para cambiar todas sus cookies, tiene 2 opciones:

Opción 1) Actualice su código de aplicación para agregar cookies utilizando un método más seguro. Ejemplo: https://.com/a/30488471/95674

Opción 2) Puede configurar un filtro de servlet para cambiar TODAS las (otras) cookies que ingresan a través del sistema. Agregue estas 2 clases en el paquete apropiado en su WAR. Luego actualice su web.xml como se detalla a continuación.

Hay un ejemplo más simple de la Opción 2 que figura en el sitio OWASP, si está dispuesto a agregar una dependencia en las bibliotecas OWASP. Eso se encuentra aquí: https://www.owasp.org/index.php/HttpOnly#Using_Java_to_Set_HttpOnly

Contenedor de respuesta

Esto agrega el indicador de solo http a todas las cookies en la respuesta envuelta.

public class HttpOnlyResponseWrapper extends HttpServletResponseWrapper {
public HttpOnlyResponseWrapper(HttpServletResponse res) {
super(res);
}
public void addCookie(Cookie cookie) {
StringBuilder header = new StringBuilder();
if ((cookie.getName() != null) && (!cookie.getName().equals(""))) {
header.append(cookie.getName());
}
if (cookie.getValue() != null) {
// Empty values allowed for deleting cookie
header.append("=" + cookie.getValue());
}
if (cookie.getVersion() == 1) {
header.append(";Version=1");
if (cookie.getComment() != null) {
header.append(";Comment=/"" + cookie.getComment() + "/"");
}
if (cookie.getMaxAge() > -1) {
header.append(";Max-Age=" + cookie.getMaxAge());
}
} else {
if (cookie.getMaxAge() > -1) {
Date now = new Date();
now.setTime(now.getTime() + (1000L * cookie.getMaxAge()));
SimpleDateFormat cookieFormat = new SimpleDateFormat("EEE, d MMM yyyy HH:mm:ss zzz");
header.append(";Expires=" + cookieFormat.format(now));
}
}
if (cookie.getDomain() != null) {
header.append(";Domain=" + cookie.getDomain());
}
if (cookie.getPath() != null) {
header.append(";Path=" + cookie.getPath());
}
if (cookie.getSecure()) {
header.append(";Secure");
}
header.append(";httpOnly");
addHeader("Set-Cookie", header.toString());
}
}

Filtrar

Este filtro ajusta las respuestas configuradas en el contenedor anterior.

package yourpackage;
@WebFilter(filterName = "HttpOnlyFilter", urlPatterns = {"/*"})
public class HttpOnlyFilter implements Filter {
private FilterConfig config;
@Override
public void destroy() {
this.config = null;
}
@Override
public void doFilter(ServletRequest req, ServletResponse res,
FilterChain chain) throws IOException, ServletException {
HttpOnlyResponseWrapper hres = new HttpOnlyResponseWrapper((HttpServletResponse)res);
chain.doFilter(req, hres);
}
public FilterConfig getFilterConfig() {
return this.config;
}
@Override
public void init(FilterConfig config) throws ServletException {
this.config = config;
}
}

Adaptado (ADVERTENCIA: ¡NO una copia exacta!) De la fuente: http://sylvanvonstuppe.blogspot.com/2007/07/servlet-filter-for-httponly.html

web.xml

Un último detalle: SÓLO SI tiene la exploración de anotación desactivada en su sistema de esta manera:

<web-app xmlns="http://java.sun.com/xml/ns/javaee"
version="2.5" ***metadata-complete="true"***>
</web-app> 

Luego deberá configurar manualmente el filtro anterior en su archivo web.xml, así:

<filter>
<filter-name>HttpOnlyFilter
<filter-class>yourpackage.HttpOnlyFilter
</filter>
<filter-mapping>
<filter-name>HttpOnlyFilter
<url-pattern>/*
</filter-mapping>

Si su aplicación escanea anotaciones (que es la predeterminada), la parte web.xml no es necesaria.

Answer 3

Odio la configuración XML, así que dedico algo de tiempo a encontrar una solución que no sea XML.

Desde Spring Security 1.3 puedes usar

server.session.cookie.http-only=true
server.session.cookie.secure=true

en su archivo application.properties .

Tal vez haya una forma de configurar esto usando la Configuración Java pura, pero no puedo encontrarlos.