如何从设置了 HttpOnly 标志的浏览器中删除 JSESSIONID cookie

Question

抱歉，如果我听起来不好。

我有一个 xyz.war 可以进行一些身份验证并设置一个 cookie（设置了 HttpOnly 所以我不能通过 java 脚本使它过期）这样当用户登录时-在下一次会话保持。现在，鉴于我可以访问托管 xyz.war 的 Tomcat，我如何编写一个 Java 程序来 expire/delete cookie？我可以创建 java 项目的 .war 并将其托管在同一个 Tomcat 中，并通过 api.

从客户端访问它

Answer 1

您会使 xyz 应用程序中的会话无效。第三方删除（从而能够修改）cookie 将是一个安全漏洞。