質問: $row['id'];」ここでログイン(セッションidを格納)した直後に、session_regenerate_id()を設定したとしても、セッションハイジャックされるのが、session_regenerate_id()を行われた後でしたら、意味がないように思えます。「session_regenerate_id()」を作成した後だった場合は、セッションハイジャックできない理由などが、あったりするのでしょうか?
回答: session_regenerate_id()は直接的にセッションハイジャックを防ぐ物ではなく、 セッションフィクセイションによるセッションハイジャックを防ぐための物と考えています。 session_regenerate_id()を呼んだ後のセッションIDを盗める状況であれば、 何回セッションIDを変えたところで無駄ですので他の対策が必要です。