sessionid 如何产生？由谁产生？保存在哪里？如何设置httpOnly属性

背景

最近要扫描网站，提示网站漏洞，要给cookies加上httponly属性。项目加到cookies里的都加了后发现JSEESIONID这个居然不知道怎么弄。
当然这是sessionid。
关于sessionid和cookies的含义内容、关系等暂时不讨论。
下面给JESSONID增加httponly属性。
JESSIONID，

由谁设置

sessionid是由web容器，中间件设置的。tomcat,resin等。如果想要修改httponly需要修改容器的配置文件，如下：

tomcat如何设置httpOnly

resin中设置httpOnly

附录

参考
[http://www.cnblogs.com/woshimrf/p/5317776.html]