窃取sessionid 是否就能访问用户信息

资源ID：

按照session机制，服务器收到客户端发送的sessionid就会去找对应的session！
而木马抓一个这样的请求包，应该难度不大的，这样岂不是风险挺大的吗。不知session机制有没有其他控制的手段，如何控制（是不是对比ip还有user agent）。