一、Session劫持 原理： 用戶登入后網站保存了用戶的session id,黑客通過暴力破解、預測或者使用網絡探嗅拿到session id，以此獲得合法的會話。 防御：1、添加HTTP Only，防止從cookie中讀取session id 2、 HTTP Secure 二、會話固定 原理： 會話固定是會話劫持的一種，會話固定是誘騙用戶使用指定的會話標識 防御：1、每當用戶登入時對session id進行重置 2、session id 超過限制時間，進行重置session id 3、禁止客戶端訪問Cookie,設置HttpOnly 三、Session保持攻擊 原理：用戶拿到session id后，讓session id一直保持服務器中，不讓session id銷毀，稱為永久后門。一般cookie與session 都有過期時間，達到失效時間后就失效，有一些系統出于體驗，當用戶活躍時會保持session。 防御：1、設置session失效時間，如三天 2、用戶環境發生變化使session 失效，如ip、UserAgent發生了變化 3、一個用戶只能擁有一個session