| 观察点 | 登录前后、角色切换、修改密码后的会话标识 |
|---|---|
| 期望 | 敏感状态变化后会话标识轮换 |
| 方法 | 对比登录前后 Cookie/Token 值 |
检查步骤
检查步骤
1. 匿名访问获取初始会话标识
2. 登录后再次查看会话标识是否更换
3. 修改密码/切换角色后再验证一次
4. 记录：标识是否轮换、旧标识是否失效修复视角：登录成功与权限变化时重建会话并作废旧标识。
会话固定检查
登录前后会话标识未轮换时存在会话固定风险；检查登录、提权、改密后会话 ID 是否更新。
易错点
- 只看 Cookie，漏掉 Authorization 令牌形态的会话
- 在共享测试账号上验证，标识变化无法归因
数据来源与参考
- OWASP WSTG WSTG-SESS-03
- CWE-384（Session Fixation）