Fixationの問題に遭遇したのでメモを残します。session_id();?>というプログラムがhttp://example.org/test.phpというURLにあったとします。このプラグラムに対して、http://example.org/test.phpと普通にアクセスすると、2e13ea2716bc048e030e6ac468743963といったランダムなセッションIDが帰ります。次に、example.orgのクッキーを削除した後、このプログラムに対してhttp://example.org/test.php?PHPSESSION=12345というURLでアクセスすると12345と、帰ってきます。PHPSESSION=12345と、URL上にセッションIDを記述しておくと、まるでsession_id($_GET[session_name()]);が実行されたように、そのセッションIDが指定した値になってしまいます。†たとえば、こんなことが可能になります。アクセスされた場合は、セッションIDをかならず再発行するようにすればよいようです。3.7.7をリリースしました。