Fixação de sessão
Ataque: o atacante planta um ID de sessão conhecido no navegador da vítima (via XSS, MITM ou parâmetro de URL), espera a vítima fazer login e então herda a sessão autenticada.
Defesa: rotacionar o ID de sessão no login (regenerar ao passar de anônimo para autenticado). A maioria dos frameworks web faz isso por padrão: Django com request.session.cycle_key(), PHP com session_regenerate_id(true), Express com session.regenerate(). Categoria antiga do OWASP Top 10. Não é o mesmo que session hijacking (roubar o cookie depois do login). A rotação de cookie se combina com Secure + HttpOnly + SameSite para uma higiene de sessão completa.