如何从浏览器中删除JSESSIONID cookie，并使用HttpOnly标志设置

Question

如果我听起来很糟糕，道歉。

我有一个xyz.war，它执行一些身份验证并设置一个cookie（使用HttpOnly设置，这样我就不能通过javascript将其过期），这样当用户下次登录时，会话就会保持。现在，鉴于我有权访问托管xyz.war的Tomcat，我如何编写一个可以使用expire/delete cookie的Java程序呢？我可以创建一个java项目的.war并将其托管在同一个Tomcat中，并通过api从客户端访问它。

Answer 1

你会使xyz应用程序中的会话无效。由第三方移除（因此能够中和）cookie会是一个安全漏洞。