セッションIDを自作すると、連番や時刻由来など推測可能になりがち。 攻撃対象は特定の個人でなくてよく、当たりさえすれば誰かになりすませる。
SESS2153 SESS2154 SESS2155 SESS2156 SESS2157
規則が見えるので、次のID・他人のIDが推測できてしまう。
42844a75c5802cc65cb03b5f29361dc3 7a13865ca2dbbe6f0ee53b7f29269b50 cc911c83ea41c810a61b15881171d929 6a49411829b6d318de6b2690eae768e5 ce7a772d1a4ade528bdd7f607c34fb34
十分な長さ＋十分なランダム性。セッションIDは自作せず、 実績のある言語・ミドルウェアの機能に任せるのが鉄則。