勉強不足ですね。はい。
発端はセッションＩＤの話から。
Ａ）セッションID、hiddenに入れてpostで渡せばいいんじゃないですか？
Ｂ）いや、Cookieの方がいいでしょ、hiddenだと漏れるよ
Ａ）え、でもCookieにしたらxssで抜かれる可能性出てきちゃいません？
Ｂ）secure属性つければ平気じゃん
Ａ）え、secure属性つけても通信経路暗号化されるだけで
ローカルPCの中には平文で入ってませんっけ？？
Ｂ）大丈夫。XSSやるにしてもSSL上でよっぽど偽装したページを
作らなければsecure属性ついたCookieは抜けないから
こんな会話。
後で試してみよう。
