Django中禁用cycle_key、不轮换session key存在哪些风险？

除了已知的「窃取匿名session key的人员可查看用户认证后的会话数据」风险外，禁用cycle_key还存在以下常见风险：

• 会话固定攻击防护失效：这是最核心的额外风险。攻击者可提前给目标用户植入一个已知的session key，等待用户使用该session完成登录操作后，由于session key未发生轮换，攻击者直接使用提前掌握的session key即可获取该用户的登录态权限，实现未授权账号访问。
• 多场景会话泄露的风险叠加：
  • 用户在公共设备上未登录状态访问站点生成匿名session后，直接在该设备完成登录，若未清理浏览器数据，后续使用该设备的人员可直接获取到已认证的session权限
  • 若服务端日志、前端埋点日志中留存了未登录状态的session key，一旦日志数据泄露，攻击者可直接复用这些key获取对应用户登录后的权限，若开启cycle_key，泄露的匿名session key登录后即失效，无利用价值
• 混合访问场景的嗅探风险：即便当前HTTPS覆盖率较高，仍存在不少降级访问场景：比如用户使用的代理服务、浏览器插件将部分请求降级为HTTP，或是站点本身存在未修复的混合内容漏洞，未登录状态下的session key可能被中间人嗅探获取，禁用cycle_key的情况下，嗅探到的key在用户登录后可直接获取认证权限。
• 第三方数据泄露的衍生风险：不少业务会将匿名session key作为用户唯一标识传给第三方数据分析、广告投放等服务，若第三方发生数据泄露，禁用cycle_key会导致泄露的匿名key可直接用于登录用户账号，相当于将用户认证权限间接暴露给第三方及所有可获取泄露数据的人员。
• 权限变更的残留风险：若用户登录后还会发生权限等级变更（比如普通用户升级为管理员、绑定敏感权限），由于你已经关闭了登录环节的session key轮换逻辑，通常也不会额外针对权限变更做key轮换，此前任何阶段泄露的session key都可获取用户的最高权限，进一步放大风险。

内容的提问来源于stack exchange，提问作者dfrankow