Rails 4：Devise是否通過在登錄后重置會話來解決會話固定問題？

Question

我正在瀏覽Rails安全指南，我試圖通過在登錄后重置用戶會話並將新會話分配給用戶來確定是否需要解決會話固定問題。

我現在正在使用Devise 3.4.1。 Devise會自動解決這個問題嗎？ 如果沒有，我需要更改什么來保護我的網站免受會話固定？

Answer 1

截至2010年11月20日， Devise不容易受到會話固定攻擊（ 相關博客文章 ）。

其作者之一Jose Valim在關於CSRF令牌固定攻擊的博客文章中證實了這一點。