2026-06-11
Что такое фиксация сессии — заставить жертву войти с ID, который атакующий уже знает
Фиксация сессии заставляет жертву использовать известный атакующему ID сессии, а затем выдаёт себя за неё после её входа с этим ID. Основная защита: регенерировать ID сессии при входе (и при смене привилегий). Не принимайте ID из URL и выставляйте cookie флаги HttpOnly/Secure/SameSite.