升级Tomcat 8.5.6为什么删除Cookie的方法在IE上不再有效

这是我之前在自己公众号曾经记录过的一个问题。

1.问题是什么？

Cookie里面同一个domain的Ticket有两个，一个是null，另一个是有效值，导致当取到ticket为null的值时，验证ticket无效，无法登陆。

2.原因是什么？

升级Tomcat 8.5.6后，IE上删除Cookie的方法不再有效。试图通过SetMaxAge为0去删除Cookie，但是IE 并不认识MaxAge，之前的Tomcat版本可以帮忙解决这个问题，遇到MaxAge替换成IE认识的Expire，现在的tomcat版本却没有这个功能。

所以当代码检查ticket，发现Ticket无效后，Renew 一个新的ticket，删除无效的ticket，可是因为删除ticket的方法不起作用，导致两个ticket同时存在。

以下是删除Cookie的方法：

 Cookie[] cookies = request.getCookies();
if (cookies != null) {
for (int i = 0; i < cookies.length; i++) {
 String cookieName = "SampleCookieName";
 Cookie cookie = cookies[i];
 if (cookieName.equals(cookie.getName())) {
  cookie.setPath("/");
  cookie.setMaxAge(0);
  response.addCookie(cookie);
 }
}
}

3.解决方案是什么

可以用以下代码去解决：

Cookie[] cookies = request.getCookies();
if (cookies != null) {
for (int i = 0; i < cookies.length; i++) {
 String cookieName = "SampleCookie";
 Cookie cookie = cookies[i];
 if (cookieName.equals(cookie.getName())) {
  StringBuilder cookieString = new StringBuilder(cookieHeaderName + "=" + "" + "; ");

  cookieString.append("Expires=0" + "; ");
  cookieString.append("Version=0; ");
  cookieString.append("Path=/; ");
  cookieString.append("Max-Age=0" + "; ");
  //cookieString.append("HttpOnly");

  response.addHeader("Set-Cookie", cookieString.toString());
 }
}
}

但是如果代码里面这种用法太多，还是升级Tomcat比较好，新的Tomcat8.5.12已经Fix了这个问题。