防护要点
防护要点
登录成功后轮换会话：session_regenerate_id(true)（PHP 示例）
未登录阶段不分配持久化会话
会话 ID 只经 Cookie 传输，不放在 URL
设置会话超时与注销立即失效单点登录场景同样要检查：认证回调完成后是否创建新会话，而不是复用请求带来的会话。
会话固定攻击与防护
会话固定指攻击者预置一个会话标识并诱导受害者在其上登录，登录后攻击者沿用同一标识获得已认证会话；防护核心是登录成功时轮换会话 ID。
易错点
- 登录前就下发长期会话且登录后不轮换 ID：这是会话固定的典型形态
数据来源与参考
- OWASP Session Management Cheat Sheet
- PHP 手册（session_regenerate_id）