程序不使用 cookie 傳輸會話標識符，這可能導致易受 session fixation 和 session hijacking 攻擊。
大多數 Web 應用程序使用會話標識符來唯一標識用戶，該標識符通常存儲在 cookie 中，并在服務器和 Web 瀏覽器之間進行透明傳輸。
沒有在 cookie 中存儲會話標識符的應用程序有時將這些標識符作為 HTTP 請求參數或 URL 的一部分進行傳輸。接受 URL 中指定的會話標識符使得攻擊者很容易進行 session fixation 攻擊。
將會話標識符放在 URL 中還會增加針對應用程序進行 session hijacking 攻擊的成功幾率。當攻擊者控制了受害者的活動會話或會話標識符時，就會發生 session hijacking。對于 Web 服務器、應用程序服務器和 Web 代理而言，通常的做法是存儲請求的 URL。如果會話標識符包括在 URL 中，那么也會記錄它們。增加能夠查看和存儲會話標識符的位置就會增加被攻擊者攻擊的機會。
[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A3 Broken Authentication and Session Management
[2] Standards Mapping - OWASP Top 10 2010 - (OWASP 2010) A3 Broken Authentication and Session Management
[3] Standards Mapping - OWASP Top 10 2007 - (OWASP 2007) A7 Broken Authentication and Session Management
[4] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3405 CAT I
[5] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3405 CAT I
[6] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 384
[7] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Information Leakage
[8] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.3
[9] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.5.7
[10] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.8
[11] Runtime Configuration The PHP Group
[12] Session Fixation Fortify, An HP Company