1. http/ステートレス

HTTPは(サーバが) クライアントの「現在の状態」を覚えておく設計になっていない。

ブラウザから送信する情報は書き換えられる。---> ブラウザが送りたいものが送れる。

hidden parameter, cookie, session variable

/セッションID固定化攻撃