springboot设置httpOnly无效

Question

如题。

环境：springboot2.3.1 JDK1.8 jetty

server:
  port: 9212
  session:
    cookie:
      http-only: true
      secure: true

使用这种方式设置 http-only 无效，也用过cookie中追加。

    Cookie[] cookies = request.getCookies();
    for (Cookie cookie: cookies) {
            if(StringUtils.equals("JSESSIONID",cookie.getName())){
                    StringBuilder sb = new StringBuilder(cookie.getValue());
                    sb.append(";").append("Secure;").append("HttpOnly;");
                    cookie.setValue(sb.toString());
                    response.setHeader("Set-Cookie",sb.toString());
            }
    }

都不行

请问怎么解决

Answer 1

你的配置不对

server.servlet.session.cookie.http-only

对于springboot的正确配置，你可以参考 https://prop.springboot.io/#/11.Server