java - ZK でのセッションハイジャック防止

Question

私は Web 開発シーンに非常に慣れていませんが、疑問に思っていました: セッションのハイジャックを防ぐために、ZK フレームワークがどのメカニズムを使用しているか知っている人はいますか?

Answer 1

ZK および ZK Spring Security を使用すると、透過的に処理されます。

仕組みは簡単です。エンド ユーザーのログイン後、新しいセッションが作成され、古いセッションのすべての属性が新しいセッションにコピーされます (状態を維持するため)。その後、古いセッションは無効になり、エンド ユーザーはそれ以降、新しいセッションで作業します。古いセッション番号は「悪者」によって既に無効にされているため、「悪意のある購入者」がセッションをハイジャックする方法はありません。