JSF/RichfacesでHttpOnlyフラグを設定するには

Question

JSF/richfacesのCookie、特にセッションCookieにHttpOnlyフラグを追加して、Webアプリケーションのセキュリティレベルを上げたいと思います。何か案は？以下のような

Answer 1

何か：

response.setHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly"); 

は、Java環境で動作する可能性があります。私はこれを達成するためのJSF固有の方法を認識していません...ごめんなさい

これはJavaでは簡単ではないようです。

Answer 2

サーブレットエンジンでこれを行うことができるものがあります。これはまだリリースされていないServlet 3.0仕様の一部です。

Answer 3

私はフィルタを使用してレスポンスラッパーを追加する必要があると思われます。これはフレームワークによって追加されたすべてのクッキーにフラグを追加します。

Answer 4

FacesContext facesContext = FacesContext.getCurrentInstance().getFacesContext(); 

HttpServletResponse response = (HttpServletResponse) facesContext.getExternalContext().getResponse(); 

response.addHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");