CGI::SESSIONでセッションIDを再生成するには？

前提・実現したいこと

CGI::SESSIONを使用しています
休日にPerlで遊びがてら、簡単なログイン画面を作成しており、その時に発生した疑問です

発生している問題・エラーメッセージ

セキュリティーにはあまり詳しくはないんですが、セッション固定攻撃というのがあるというのを知りました
それにも対策をしてみようかと思いました
しかし、ドキュメントにはそれらについての記述が見当たりませんでした
PHPにはsession_regenerate_id()というセッションIDを再生成するための手段があると思います
そのため、Perlにも同等の機能があるはずだと思い込んでいましたが、各人で実装していかなければならないのでしょうか？

問題のソースコード

perl
1$session = CGI::Session->new();
2$cookie = CGI::Cookie->new(-name => $session->name, -value => $session->id, -expires => '+1h', -secure => 1);
3
4print $cgi->header(-cookie => $cookie);

参考にしたサイト

どうぞよろしくお願いします

ockeghem

2018/08/27 14:02

現状のプログラムで、セッションを使っている箇所のソースコードを示して下さい

m.ts10806

2018/08/28 00:27 編集

（perldoc読んだかの確認をしたコメントを記載していましたが「ドキュメントには」というのを見落としていたので削除）どのあたりを探したかリンクなども記載いただけますか？

KarakuriHirose

2018/08/28 14:20

ockeghemさん, mts10806さん>質問文を追記しました。

行動規範の内容に同意します

回答1件

試行錯誤的に調べたところ、以下のようにSessionをnewする際に第2パラメータに空文字列を指定すると、新しいセッションIDが生成されるようです。

Perl
1$session = CGI::Session->new(undef, '');

ただ、あくまで、「こうすれば所望の動作が得られた」というだけで、仕様として正しいのかは確認できていません。参考情報としてお伝えします。

投稿2018/08/29 07:05

ockeghem

総合スコア11701

KarakuriHirose

2018/08/29 19:23

>Sessionをnewする際に第2パラメータに空文字列を指定すると、新しいセッションIDが生成される現在検証できませんが、空文字列で再生成が可能だったのですね第二引数にundefを指定した場合、セッション情報は維持されず、新しいセッションを生成するようだった(http://perldoc.jp/docs/modules/CGI-Session-3.11/Tutorial.pod#pod26368-21021-12395-12354-12394-12383-12364-30693-12427-12409-12365-20107)ので、空文字列でも同じものかと思い検証をしていませんでしたもう一度ドキュメントを見直して、回答のコードの動作について書かれていないか確認しようと思います非常に参考になりましたご回答をしていただき、ありがとうございました

行動規範の内容に同意します