セッションハイジャック
WebアプリケーションとブラウザがセッションIDを送受信する方法として以下の3つが知られている:
cookie
フォームデータのhiddenフィールド
URL
第一の方法は RFC 6265 に規定されており、WebアプリケーションがSet-Cookieレスポンスヘッダを用いてcookieを発行し、ブラウザ側がそのcookieを自動的にサーバに送り返す。
第二の方法はセッションIDをフォームデータのhiddenフィールドとして渡す方法で、この方法を用いるにはページ遷移をフォームデータの送信の形で記述する必要がある。
第三の方法はURLにセッションIDを含める方法だが、すでに述べたようにセッションハイジャックの危険にさらされるので、特別な理由がない限り利用すべきではない。
したがって安全性を考慮した場合、第一もしくは第二の方法を用いてセッション管理を行うべきである。