强制Tomcat通过http使用安全的JSESSIONID cookie

Question

有没有办法将Tomcat7配置为在所有情况下都创建带有安全标志的JSESSIONID cookie？

仅当通过https建立连接时，通常的配置才会导致Tomcat使用安全标志标记会话cookie。然而，在我的生产场景中，Tomcat位于一个反向代理/负载均衡器之后，后者处理(并终止) https连接并通过http联系tomcat。

我是否可以通过某种方式在Tomcat的会话cookie上强制使用安全标志，即使是通过纯http建立连接？

Answer 1

最后，与我最初的测试相反，web.xml解决方案在Tomcat7上为我工作。

例如，我将此代码片段添加到web.xml中，它将会话cookie标记为安全，即使反向代理通过普通HTTP联系tomcat也是如此。

<session-config>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
</session-config>

Answer 2

ServletContext.getSessionCookieConfig().setSecure(true)