セッションIDをクッキーに保存するという概念は何ですか？

Question

私は企業向けに安全なウェブサイトを開発しています。すべての既知の脆弱性から完全に保護されることを望みます。私はセキュアなクッキーを作成し、HTTPOnlyを有効にしましたが、その例ではクッキー値をセッションIDとして使用していました。理解できませんでした。この方法を使用しないと脅威になりますか？

Answer 1

セッションIDをクライアントに送信し、そのクライアントからの要求をセッションに一致させるには、サーバーに戻す必要があります。

AFAIKセッションIDを渡すには、クッキーまたはパラメータ（ほとんどの場合、取得要求をサポートするためのURLパラメータである）として、2つの方法があります。セッションIDをパラメータ経由で送信することは、脆弱ですが、攻撃者がクッキーと同じことを行うのは難しいことではないにしても、事前に作成されたセッションid（セッション固定）でリンクを提供できるからです。

URLパラメータを介してセッションIDを送信するだけでなく、セキュリティ上の問題が発生します。誰かがURLをコピーして誰かに送ると（「これを見てね」）、ウェブ上のどこかに投稿しているとします。セッションが存在する限り、そのリンクにアクセスする全員が同じセッションを使用し、互いに反復する。確かに、セッション（IPアドレス、MACアドレスなど）に関係なくユーザーを識別する方法はありますが、これらの方法は実現できないか、または他の制限を課すことがあります。