理解 Session ID 的生成、轮换、超时、注销和固定攻击，避免只设置 Cookie 却没有管理登录生命周期。