❓ Как устроены сессии и что такое session fixation?

Сессия — серверное хранилище состояния между запросами; клиенту отдаётся только идентификатор, обычно в куке PHPSESSID. По умолчанию данные лежат в файлах, но их можно вынести в Redis или БД через session handler.

Session fixation — процесс, когда атакующий навязывает жертве заранее известный session id.

Защита — session_regenerate_id(true) при смене уровня привилегий, в первую очередь сразу после логина.