在Servlet 3.0中增加对Cookie（请注意，这里所说的Cookie，仅指和Session互动的Cookie，即人们常说的会话Cookie）较为全面的操作API。最为突出特性：支持直接修改Session ID的名称（默认为“JSESSIONID”)，支持对cookie设置HttpOnly属性以增强安全，避免一定程度的跨站攻击。
相关较为深入信息，请访问
进阶阅读部分。
以前的实现
虽然新的API提供了简答便捷的API操作会话Cookie，但新的API之前，我们可以较为生硬的操作响应头部，完成设定工作。看看以前的代码吧：
/**
* 自定义会话Cookie属性
* @author yongboy
* @date 2011-1-19
* @version 1.0
*/
@WebFilter(dispatcherTypes = { DispatcherType.REQUEST }, urlPatterns = { "/*" })
public class CustomCookieFilter implements Filter {
private static final Log log = LogFactory.getLog(CustomCookieFilter.class);
private static final String CUSTOM_SESSION_ID = "YONGBOYID";
private static final String HTTP_ONLY = "HttpOnly";
private static final String SET_COOKIE = "SET-COOKIE";
public void destroy() {
}
public void doFilter(ServletRequest req, ServletResponse rep,
FilterChain chain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) req;
HttpServletResponse response = (HttpServletResponse) rep;
if (response.containsHeader(SET_COOKIE)) {
log.info("haha,we have one new user visit the site ...");
String sessionId = request.getSession().getId();
String cookieValue = CUSTOM_SESSION_ID + "=" + sessionId + ";Path="
+ request.getContextPath() + ";" + HTTP_ONLY;
log.info(SET_COOKIE + ":" + cookieValue);
response.setHeader(SET_COOKIE, cookieValue);
}
chain.doFilter(req, response);
}
public void init(FilterConfig fConfig) throws ServletException {
}
}
利用拦截器实现，判断每次请求的响应是否包含SET-COOKIE头部，重写会话Cookie，添加需要的属性。虽较为生硬，但灵活性强。
新的规范API
新的规范添加SessionCookieConfig接口，用于操作会话Cookie，需要掌握以下主要方法：
- setName(String name)
修改Session ID的名称，默认为"JSESSIONID" - setDomain(String domain)
设置当前Cookie所处于的域 - setPath(String path)
设置当前Cookie所处于的相对路径 - setHttpOnly(boolean httpOnly)
设置是否支持HttpOnly属性 - setSecure(boolean secure)
若使用HTTPS安全连接,则需要设置其属性为true - setMaxAge(int maxAge)
设置存活时间，单位为秒
如何使用呢，很方便，在ServletContextListener监听器初始化方法中进行设定即可；下面实例演示如何修改"JSESSIONID"，以及添加支持HttpOnly支持：
/** 全局设置Session-Cookie相交互部分属性
*
* @author yongboy
* @date 2011-1-19
* @version 1.0
*/
@WebListener
public class SessionCookieInitialization implements ServletContextListener {
private static final Log log = LogFactory
.getLog(SessionCookieInitialization.class);
public void contextInitialized(ServletContextEvent sce) {
log.info("now init the Session Cookie");
ServletContext servletContext = sce.getServletContext();
SessionCookieConfig sessionCookie = servletContext
.getSessionCookieConfig();
sessionCookie.setName("YONGBOYID");
sessionCookie.setPath(servletContext.getContextPath());
sessionCookie.setHttpOnly(true);
sessionCookie.setSecure(false);
log.info("name : " + sessionCookie.getName() + "\n" + "domain:"
+ sessionCookie.getDomain() + "\npath:"
+ sessionCookie.getPath() + "\nage:"
+ sessionCookie.getMaxAge());
log.info("isHttpOnly : " + sessionCookie.isHttpOnly());
log.info("isSecure : " + sessionCookie.isSecure());
}
public void contextDestroyed(ServletContextEvent sce) {
log.info("the context is destroyed !");
}
}
需要通过ServletContext对象获得SessionCookieConfig对象，才能够进一步自定义session cookie的名字等属性。
无论以前的硬编码还是新的API实现，目标都是一致的，所产生头部信息也是完全一致。毫无疑问，后者更为方便快捷，省缺了显示的操作响应元数据。
对当前站点的第一次请求，很容易从响应头信息中看到Set-Cookie的属性值：
不同浏览器平台上测试
- 在Safari、IE8、Opera 11 一切都很正常
- Firefox 3.6、Chrome 9.0，JSESSIONID会继续存在:
YONGBOYID=601A6C82D535343163B175A4FD5376EA; JSESSIONID=AA78738AB1EAD1F9C649F705EC64D92D; AJSTAT_ok_times=6; JSESSIONID=abcpxyJmIpBVz6WHVo_1s; BAYEUX_BROWSER=439-1vyje1gmqt8y8giva7pqsu1
- 在所有浏览器中，SESSION ID等于新设置的YONGBOYID值（若不相等，问题就严重了！）
- 在客户端JS无法获得正确的SESSIONI ID了。
Tomcat服务器内置支持在Tomcat 6-7，可以不用如上显示设置Cookie domain、name、HttpOnly支持，在conf/context.xml文件中配置即可：
<Context useHttpOnly="true", sessionCookieName="YONGBOYID", sessionCookieDomain="/servlet3" … >
...
</Context>
既然JAVA应用服务器本身支持会话Cookie设定，那就没有必要在程序代码中再次进行编码了。这是一个好的实践：不要重复造轮子。
这里给出一段测试Session重写的一段脚本：
<div style="margin: 40px; paddding: 10px">
<div><a href="sessionCookieTest">正常连接</a></div>
<div><a href="<%=response.encodeURL("sessionCookieTest") %>">重定向连接</a></div>
</div>
会被重写的URL地址类似于：
http://localhost/servlet3/sessionCookieTest;YONGBOYID=19B94935D50245270060E49C9E69F5B6
嗯，在取消会话Cookie之后，可以直接看到修改后的SESSION ID名称了，当然这时候HttpOnly属性也没有多大意义了。
有一点别忘记，设置HttpOnly之后，客户端的JS将无法获取的到会话ID了。
进阶阅读：
- 维基对HttpOnly的解释
- 利用HTTP-only Cookie缓解XSS之痛
- Tomcat Context 属性
- HttpOnly cookie与跨站点追踪