CS KAIROS · LEARNING LIBRARY
M11 · 工作階段劫持 · 安全練習
本章只使用離線資料、自製輸入或紙上情境。依下列步驟完成，再核對自己留下的證據。
紙上練習：畫出工作階段狀態
用紙筆與虛構識別碼 S1、S2；不讀取真實 Cookie。
- 畫出未登入、S1 有效、登出、S1 失效四個狀態。
- 加入權限變更後換成 S2 的分支。
- 指出哪個步驟需要伺服端證據。
預期結果
舊識別碼失效需要伺服器拒絕的證據；UI 回到登入畫面不夠。
自行檢核
HttpOnly 是否能保證被注入的腳本無法代使用者送出任何請求？
結束與清理
保留狀態圖；沒有真實工作階段需要清除。