在GAE Java上保护JSESSIONID

我需要保护JSESSIONID，特别是XSS

之前，我在部署描述符web.xml中添加了仅HTTP的安全约束，但它在GAE Java中不起作用。请问以前有人在谷歌AppEngine上试过吗

<session-config>
    <cookie-config>
        <http-only>true</http-only>
    </cookie-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>

---

谢谢你

参考好东西。我以前试过，但效果不好&我今天再试了一次。在我看来，有一些打字错误。筛选器未调用filterChain.doFilterrequest，响应；在doFilter的末尾。现在效果很好。可能是