セッション固定化攻撃
攻撃者が既知のセッションIDを被害者のブラウザに仕込み（XSS、MITM、URLパラメータ経由）、被害者のログインを待って認証済みセッションを引き継ぐ攻撃。
対策はログイン時にセッションIDを再発行すること（匿名から認証済みへの昇格時に再生成）。主要なWebフレームワークの多くは標準でこれを行う。Djangoでは request.session.cycle_key()、PHPでは session_regenerate_id(true)、Expressでは session.regenerate()。かつてのOWASP Top 10に入っていた項目だ。ログイン後にCookieを盗むセッションハイジャックとは別物である。Cookieのローテーションに Secure、HttpOnly、SameSite を組み合わせて、初めて完全なセッション管理となる。