What is a potentially dangerous web session management practice?

Đáp án đúng: "including the session ID in the URL". Đặt mã phiên (session ID) trong URL làm nó lộ ra ở lịch sử trình duyệt, nhật ký máy chủ và proxy, header Referer gửi sang trang khác, hay khi người dùng chia sẻ đường liên kết, đồng thời mở đường cho session fixation (cố định phiên); OWASP khuyến nghị chỉ truyền mã phiên qua cookie. "setting a cookie with the Expires attribute" sai vì thuộc tính Expires đặt thời điểm hết hạn của cookie, giúp phiên không tồn tại vô thời hạn, là thực hành bình thường. "setting a cookie with the Max-Age attribute" sai vì Max-Age cũng giới hạn thời gian sống của cookie tính bằng giây, cùng mục đích thu hẹp cửa sổ bị lợi dụng. "configuring a cookie with the HTTPOnly flag" sai vì cờ HttpOnly ngăn JavaScript đọc cookie, giảm nguy cơ mất phiên qua XSS, tức là một biện pháp bảo vệ.