Muszę ustawić httpOnly i zabezpieczyć flagi w pliku cookie sesji w Google App Engine.

Próbowałem następujących rzeczyweb.xml:

<session-config>
 <cookie-config>
  <http-only>true</http-only>
 </cookie-config>
</session-config>

Jednak to nie zadziałało.

Wypróbowałem to również na szczycie każdego JSP:

String sessionid = request.getSession().getId();
response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; HttpOnly");

Jak mogę to osiągnąć?