問43応用情報技術者 平成30年度 春期

解説

正解は2。セッションIDはWebサーバが発行し、サーバ側でどの利用者のセッションかを管理している。ログアウト時にサーバ側でそのセッションIDを無効にすれば、IDが途中で盗まれていたとしても、そのIDを使った要求は受け付けられず、なりすましは成り立たない。

• 1は、IDをディスクに残すだけで、無効にしない限りIDは有効なまま使える。
• 3は、キャッシュの消去は表示したページの残りを消す対策で、サーバ側でIDが有効なら乗っ取りは防げない。しかも利用者は自分専用のPCを使っている前提である。
• 4は、ブラウザ側でIDをディスクに保存すると、かえってIDが長く残り漏れる機会が増える。

根拠：Webアプリケーションのセッション管理（ログアウト時のサーバ側でのセッション破棄）。