セッションIDを自作すると、連番や時刻由来など推測可能になりがち。 攻撃対象は特定の個人でなくてよく、当たりさえすれば誰かになりすませる。
SESS1629 SESS1630 SESS1631 SESS1632 SESS1633
規則が見えるので、次のID・他人のIDが推測できてしまう。
9d78a75ac4b27564ab66743276454c60 4a2f5ea93a50a6dc72907be35bf6c6f3 df4f43e2915d286563ab3cdf4e6ad652 0ce290b21eb906ac20f925b7fa7d1781 4adefc7ec764a9ed1ef6b77baaee971e
十分な長さ＋十分なランダム性。セッションIDは自作せず、 実績のある言語・ミドルウェアの機能に任せるのが鉄則。