IBM AppScan -加密会话(SSL) Cookie中缺少安全属性

Question

我们有一个缺失的安全属性在加密会话(SSL) Cookie问题的primefaces.download基于IBM扫描DSAT测试。

第一版为7.0

示例示例：https://www.primefaces.org/showcase/ui/data/dataexporter/basic.xhtml

primefaces.download --这个cookie是在下载文件时设置的

我们已经在web.xml中有了会话配置，但是当我签入chrome时，primefaces.download cookie并不是仅设置为http的，并且是安全的。

在JBoss7.2上运行它时，还需要做什么？

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd" id="WebApp_ID" version="3.0">

..........

<session-config>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

​

​

更新：问题引发了 https://github.com/primefaces/primefaces/issues/6040

Answer 1

已经提交了一个在9.0快照中修复该问题的拉请求。

https://github.com/primefaces/primefaces/pull/6041