如何使用servlet或配置文件本身将samesite = strict添加到weblogic服务器中的JSESSIONID cookie？

Question

我正在研究appspider中的SameSite属性漏洞

当我们第一次在响应中发送 JSESSIONID cookie 时，samesite 属性应该是严格的。如何实现？ 默认情况下发送这么多 设置 Cookie：JSESSIONID=11V1VyWSUBJD5Cn8boKVCZzBpGOUe7NP5xEkkrEXtl5ypBkFeQdr！-1972425066；路径=/；仅 Http

作为回应。我也想添加相同的网站。 当我编辑 weblogic.xml 文件时，更改没有反映出来

Answer 1

使用 weblogic.xml 部署描述符无法实现此目的。您必须编写一个过滤器 (javax.servlet.Filter) 才能将此属性添加到您的 cookie 中。您的过滤器应该从响应中读取所有 cookie，并将它们添加到 Samesite 属性。 另一个解决方案是在 WebLogic Server 实例（apache、OHS 等）前面的 HTTP 服务器中更新 cookie

Answer 2

你必须去weblogic。在 WEB_INF 文件夹中的 web.xml 文件中，添加 wls:session-descriptor，然后添加 wls:cookie-path。如下：

enter code here-路径>/;SameSite=strict