攻撃を軽減する手段です。GETリクエストを使う別の登録可能なドメインへのリクエストに対して、クッキーへのアクセスを許可するかどうかです。使っているクッキーはそうではありません。期限切れのセッションIDを削除する設定です。この設定に依存することは推奨しません。開発者はタイムスタンプを使って、セッションの有効期間を自前で管理すべきです。使って行うのが最適です。関数は、タスクマネージャーを使って実行すべきです。GC処理はデフォルトでは確率的に行われます。可能な限り最小の値を指定することを推奨します。適切な頻度で期限切れのセッションが削除されるように調整してください。自動ログイン機能が必須の場合、開発者は自前のセキュアな自動ログイン機能を実装しなければなりません。詳細な情報は前のページを参照してください。自動ログイン機能のために、有効期限が長いセッションIDを絶対に使わないでください。期限切れの処理を確率ベースで行うためにこの設定を使わないものもあります。詳細については、セッション保存ハンドラのドキュメントを参照してください。session.use_trans_sid=Off透過的なセッションID管理を使うことは禁止されていません。開発者は必要な場合は採用しても構いません。一般的なセッションIDのセキュリティを改善できます。保存されたHTMLソースなどから漏れる可能性があります。開発者は必要ないのにHTMLタグを書き換えるべきではありません。デフォルト値でほとんどの場合は十分です。代わりに使ってください。書き換えを許可するホストをホワイトリスト形式で定義します。信頼できないホストを絶対に追加しないでください。この設定はセッションIDインジェクションのリスクを減らします。ブラウザはリファラヘッダを送信しないことに注意してください。ブラウザはリファラヘッダを設定によって送信しない可能性もあります。この設定を使うことは推奨します。コンテンツを認証済みのセッションに関してはキャッシュしないようにします。コンテンツがプライベートでない場合だけ、キャッシュを許可します。しない場合、コンテンツが外部に流出する可能性があります。HTTPコンテンツがセキュリティに敏感なデータを含まない場合であれば採用しても構いません。プライベートなデータを送信する可能性があることに注意してください。HTTPコンテンツがプライベートなデータを一切含んでいない場合にのみ使わなければなりません。長いセッションIDであればあるほど、強いセッションIDになります。開発者はセッションIDの長さを32文字以上にすることを検討すべきです。26文字以上が必須です。長さが同じであっても強くなります。強いハッシュ関数は、より強いセッションIDを生成します。ようなハッシュアルゴリズムを使うべきです。ハッシュ関数を使うときに必ず与えなければなりません。