会话劫持即拿到任一用户有效session后，即可获取该用户所有的操作权，在相关权限内进行任意读写。

    • 如何测试会话存在被劫持的潜在可能

    通过抓包直接获取用户 A 的 session，然后在任意非 A 用户甚至不合法用户，直接利用该次 session 组装报文请求，如果服务端返回了可操作的正常结果，即会话可被劫持

    • 如何解决

    对于服务端来说，验证的唯一手段即在双端增加 token 作为一次性动态标记来校验请求一致性