令和3年度春期 応用情報技術者試験 午前 問44

正解：イ

AI解説

セッション乗っ取り対策としては、ログアウト時にWebサーバ側でそのセッションIDを無効化（セッションを破棄）することが最も重要である。クライアント側の対策だけでは、盗まれたセッションIDがサーバ側で有効なままだと再利用されてしまう。 ア: セッションIDを内蔵ストレージに格納することは保存場所の話であり、ログアウト時に乗っ取りを防ぐ直接的な対策にはならない。 イ: ログアウト時にWebサーバでセッションIDを無効にすることで、そのセッションIDが盗まれていても以後使用できなくなり、乗っ取りの機会を減らせるため正解である。 ウ: ブラウザのキャッシュクリアは閲覧履歴やページ内容の残存を防ぐ対策であり、サーバ側で有効なセッションIDそのものを無効化するものではないため、乗っ取り対策としては不十分である。 エ: WebブラウザでセッションIDを内蔵ストレージに格納することは保存に関する話であり、ログアウト時に行うべき無効化処理とは異なる。 💡 ログアウト処理の要点は「サーバ側でセッションを破棄する」こと。クライアント側だけの処理（Cookie削除等）では不十分である点を押さえる。