如何通过配置使Tomcat及NEO Java SDK的所有Cookie带Secure属性

你遇到的问题很典型：自己通过web.xml配置的JSESSIONID能正确带上Secure属性，但NEO Java SDK生成的JTENANTSESSIONID_?? Cookie却没生效，导致浏览器拦截。不用写额外代码的话，咱们可以通过Tomcat的全局配置来强制所有Cookie都带上Secure属性，有两种可靠的方式：

方式一：使用CookieProcessor全局统一配置（推荐Tomcat 9.0.4+） #

Tomcat从9.0.4版本开始提供了CookieProcessor组件，可以全局控制所有Cookie的属性，直接覆盖应用层的设置。你只需要修改Tomcat的conf/context.xml（如果只想针对单个应用生效，就改对应应用的META-INF/context.xml），在<Context>标签内添加以下配置：

<Context>
  <!-- 保留你已有的其他配置 -->
  <CookieProcessor sameSiteCookies="none" secure="true" />
</Context>

这个配置会强制让所有通过Tomcat生成的Cookie都带上Secure属性，不管应用或SDK本身的配置如何，完美解决你遇到的SDK Cookie属性缺失问题。

方式二：使用SecureCookieValve（适用于Tomcat 8及更早版本） #

如果你的Tomcat版本比较旧，不支持CookieProcessor，可以用Tomcat自带的SecureCookieValve阀来实现。修改conf/server.xml中的<Host>标签，添加这个Valve：

<Host name="localhost" appBase="webapps"
      unpackWARs="true" autoDeploy="true">
  <!-- 已有配置 -->
  <Valve className="org.apache.catalina.valves.SecureCookieValve" />
</Host>

或者你只想针对单个应用生效，就把这个Valve配置加到对应应用的META-INF/context.xml里。这个Valve会自动给所有响应中的Cookie添加Secure属性，同样不需要修改任何业务代码。

额外注意事项 #

• 因为你的服务已经配置了HTTPS，所以强制设置Secure属性是安全的，浏览器只会在HTTPS连接下发送这些Cookie，符合安全规范。
• 虽然NEO Java SDK的tenant_session_cookie.properties里设置了secure=true但没生效，大概率是SDK的配置没有正确传递给Tomcat的Cookie生成逻辑，而上面的Tomcat全局配置会直接覆盖这个层级的设置，确保所有Cookie都符合要求。

内容的提问来源于stack exchange，提问作者Keshav Heda