会话标识意外泄露后，系统如何限制攻击者持续控制账号？

核心结论

会话安全的目标不是假设标识永不泄露，而是通过安全传输、最小暴露、生命周期控制、轮换、撤销和风险检测限制泄露后的影响。会话标识应是高熵随机值，只作为服务器端状态的索引，不包含可被篡改的权限信息；认证成功、权限提升和敏感资料变更后应轮换；退出、密码重置和风险事件发生时应可靠失效。密钥管理则必须与业务代码、日志和客户端包分离。

底层机制与决策依据

浏览器会按Cookie的作用域和属性自动发送会话标识。Secure要求仅通过加密连接发送，HttpOnly减少脚本直接读取的机会，SameSite降低部分跨站请求风险。应尽量使用不设置Domain的主机限定Cookie，缩小Path，避