Что такое session fixation и как от неё защищаться? Покажи правильный flow login с ротацией session id, и polный список cookie attrs для session cookie на production уровне.