session - OWASP考虑在成功进行身份验证或特权级别更改后重新生成新 session

Question

在OWASP网站上，前十项内容之一表明，我们应该考虑在成功进行身份验证或特权级别更改后重新生成新 session 。

正确的做法是什么？

一位同事告诉我的一件事，但我尚未测试，当用户使用浏览器选项卡时，每个选项卡都无法获得其自己的 session ，因此我认为这会否定整个练习。

谢谢，
保罗·斯佩兰萨

Answer 1

根据您使用的语言，您只需调用诸如session.invalidate()之类的东西，然后重定向即可创建一个新的 session 。