セッション固定

セッション固定（Session Fixation）とは：攻撃者が用意したセッションIDでログインさせる攻撃

セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。基本の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieには HttpOnly/Secure/SameSite を付ける。