Java 如何在JSF/Richfaces上设置HttpOnly标志

我想将

HttpOnly

标志添加到

JSF/richfaces

cookies，特别是会话cookie，以提高我的web应用程序的安全级别。有什么想法吗

类似于：

response.setHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");

可能在Java环境中工作。我不知道有一种JSF特定的方法来实现这一点。。。对不起

---

在Java中，这似乎不是一项容易的任务。

可能有一些东西允许您在servlet引擎中执行此操作。这是Servlet 3.0规范的一部分，该规范尚未发布。

我怀疑我需要使用一个过滤器来添加响应包装器，该包装器将在框架添加所有cookie时向它们添加标志

FacesContext facesContext = FacesContext.getCurrentInstance().getFacesContext();

HttpServletResponse response = (HttpServletResponse) facesContext.getExternalContext().getResponse();

response.addHeader("Set-Cookie", "yourcookiename=yourcookievalue; HTTPOnly");