セッションのロック

2007/03/30 (Fri) 22:07:46 JST

同一のセッションへのアクセスは特に制御されません。デフォルトの実装ではURLかクッキーにセッションIDが埋め込まれますが、複数のブラウザから同時に同一のセッションへアクセスすることは可能です。

デフォルトの設定ではURLのみで制御されるので、セッションが生きている間にURLを入手できれば不正なログインも可能ですが、それと同時実行制御はまた別の問題です。