限制攻击者获取会话ID。
限制攻击者获取会话ID的方法如下。
（1）使用一个函数（md5）计算User-Agent头加上某些附加字符串数据后的散列值（hash）。（散列函数（hash function）接受一个任意大的数据集，并且将它转换为一个看起来完全不同的数据，这个数据很短。产生的散列值是完全不可重现的，也不可能由另一个输入产生。）
在User-Agent字符串后面添加一些数据，攻击者就无法通过对常见的代理值计算md5编码来试探User-Agent字符串。
（2）将这个经过编码的字符串保存在用户的会话数据中。
（3）每次从这个用户接收到请求时，检查这个散列值。
此方案的代码如下：
<?php  define ( 'ua_seed','webapp' ) ;
session_start () ;
if ( !isset($_SESSION['user_agent'] )){
$_SESSION['user_agent'] = md5 ( $_SERVER['HTTP_USER_AGENT'].ua_seed );
}else{
if ($_SESSION['user_agent'] != md5($_SERVER['HTTP_USER_AGENT'].ua_seed)){} }  ?>
通过给攻击者制造一些麻烦，使攻击者即使获取了会话ID，也无法进行破坏，能够减少对系统造成的损失。