❓ Что такое сессии в PHP и какие у них уязвимости?

Сессия — механизм хранения данных между HTTP-запросами. PHP создаёт уникальный session_id, передаёт его клиенту в cookie (PHPSESSID), а данные хранит на сервере (файлы, Redis, DB).

session_start();
$_SESSION['user_id'] = $user->id;

Уязвимости:

⚠️ Session Fixation — атакующий подсовывает жертве известный session_id. Решение: session_regenerate_id(true) после логина.
⚠️ Session Hijacking — кража session_id через XSS или сниффинг. Решение: HTTPS, httponly cookie, SameSite.
⚠️ Предсказуемый session_id — в старых PHP. В современных — криптографически безопасный генератор.