JSESSIONIDはデフォルトではセキュアではありません

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• ブラウザでのLiferayリクエストに付属するJSESSIONIDクッキーは、ブラウザで検査するとデフォルトで安全ではありません。

Environment

• Liferay DXP 7.3

解決策

• web.xmlのJSESSIONIDをsecureに設定してください：

<session-config>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
 </session-config>

追加情報

• JSESSIONIDはアプリケーションサーバーによって生成され、HTTPではなくHTTPSでアプリケーションサーバーにアクセスする場合は、そこにセキュアとして設定する必要があります（クッキーはHTTPSプロトコル使用時にのみセキュアとしてマークすることができるため）。

• アプリサーバーへのアクセスがHTTPS経由でない場合、この設定は生成されず、後でweb.xmlで設定する必要があります。 そのため、デフォルトでは有効になっていません。