Nos servidores de aplicativos de reclamação do Servlet 3.0, eu posso definir os sinalizadores HttpOnly e seguro para o cookie de sessão (JSESSIONID) adicionando o seguinte ao web.xml:

<session-config>
  <cookie-config>
    <secure>true</secure>
    <http-only>true</http-only>
  </cookie-config>
</session-config>

No entanto, o aplicativo em que estou trabalhando deve ser implantado no Websphere 7, que é uma reclamação do Servlet 2.5 e falha ao iniciar se eu adicionar o acima ao web.xml

Existe alguma outra maneira declarativa ou configuração na configuração do Websphere 7 para ativar os sinalizadores HttpOnly e seguros para o cookie da sessã

Se não, qual seria a melhor abordagem para fazer isso programaticament