セッション管理.

認証後、サーバーはセッションを発行します。一般的には Cookie に保存されたサーバー側識別子か、JWT などの署名付きトークンとして表現され、クライアントは各リクエストでそれを送り返します。良好なセッション管理は、エントロピーの高い識別子を生成し、TLS でのみ送信し、Cookie に Secure・HttpOnly・SameSite 属性を付与し、サインイン後に識別子をローテーションし、アイドルおよび絶対のタイムアウトを強制し、ログアウト・パスワード変更・端末解除時にサーバー側で確実に失効させます。欠陥はセッションハイジャック、セッションフィクセーション、リプレイ、不適切な認証実装に直結します。現代のアプリは短命のアクセストークンとリフレッシュトークンのローテーション、継続的なリスク評価(CAEP)、端末へのトークンバインディング(DPoP、mTLS)を組み合わせることが多くなっています。