使用Apache將HttpOnly標誌添加到cookie中？

Question

所以我有一個java webapp，它使用tomcat和apache代理層。我正在設法從應用程序設置的所有Cookie都有httpOnly標誌。這個問題是，tomcat負責從應用程序端設置標誌，並且其缺省值（在servlet api 2.5中）是錯誤的。我希望我可以使用apache在飛行中爲所有cookie設置此標誌。

我一直在嘗試不同的組合，我已經得到最接近的是設置傳送到的HttpOnly最後一塊餅乾這當然是錯誤的：

Header append Set-Cookie "; HttpOnly" 

我不知道什麼餅乾/值會的方式從應用程序傳遞。這甚至有可能嗎？

Answer 1

請嘗試以下mod_headers指令。

Header edit Set-Cookie ^(.*)$ $1;HttpOnly 

Answer 2

以下mod_headers中改寫了它不會複製HttpOnly如果它已經存在，惠若之類的事情事項你：

Header edit Set-Cookie "(?i)^((?:(?!;\s?HttpOnly).)+)$" "$1; HttpOnly" 

參見：

• Where I originally found the above regex
• An explanation of why all those parentheses with the negative lookahead assertion，搜索包含或不包含某些詞的查找行
• A post where I found a small improvement to the regex（搜索標題編輯Set-Cookie）