部署HTTPS防止SessionID被窃取。
设置HttpOnly属性防止XSS攻击。在PHP中，可以通过修改php.ini中的“session.cookie_httponly = 1 ”开启全局Cookie的HttpOnly属性。也可以使用“setcookie”函数来启用。
客户端发生变化时，要求用户重新登录。例如使用User-Agent、IP地址、MAC地址等检测请求的一致性,并且加入Token进行检验。
更改SessionID名称。例如PHP中SessionID的默认名称是PHPSESSID，此变量会保存在Cookie中，如果攻击者不分析站点，就不能猜到SessionID的名称，阻挡部分攻击。加大SessionID的安全长度，加大暴力猜解难度。
为每一次请求生成新的SessionID，特别是登陆前后的 SessionID需要有所不相同，只接受服务器生成的SessionID。
设置会话超时属性，设定阈值强制会话过期。
