セッションハイジャック
なお第二の方法のほうが第一の方法よりもセッションIDが攻撃者に漏れにくいが、第二の方法の場合、自然なハイパーリンクを実現するためにスクリプトを利用する必要があるため実装が複雑になる。
その他の対策方法として、ログインを伴うWebアプリケーションではログインの認証後にセッションIDを変更するというものがある。すでに述べたようにユーザがパスワードを求められるのはログインの認証時のみで以降はセッションIDを使ってユーザを識別する。したがってセッションIDがログイン前に攻撃者に漏れていてもログイン後のセッションをハイジャックされないようにするためにこの対策が有効になる。
またWebアプリケーションの開発ツール(Webアプリケーションフレームワーク)にはセッション管理機能を持ったものも多いので、セッション管理機能を自作せず、既存の開発ツールに付属したものを利用する方が良い。