Фиксация сессии (Session fixation)
Атака: злоумышленник подсовывает жертве в браузер известный ему идентификатор сессии (через XSS, MITM или параметр URL), ждёт, пока жертва войдёт в систему, и наследует аутентифицированную сессию.
Защита: менять идентификатор сессии при входе (перегенерировать при переходе от анонимной к аутентифицированной). Большинство веб-фреймворков делают это по умолчанию: Django — request.session.cycle_key(), PHP — session_regenerate_id(true), Express — session.regenerate(). Старая категория из OWASP Top 10. Не то же самое, что перехват сессии (кража cookie после входа). Для полной гигиены сессий ротацию сочетают с Secure, HttpOnly и SameSite.