>>176
ということは、
セッションが開始されると端末側にcookieができる（許可する場合）
サーバ側はそのcookieでセッションが継続していると判断する
ブラウザを閉じても、cookieがあって、セッションの有効期間中なら
セッションは継続される
ということですか？

別件ですが、セッションIDをURLに埋め込む場合、
どのようなセキュリティ対策が必要ですか？

1. http→httpsに移行するときにセッションIDを変更する
2. セッションIDが無効なときは、トップに転送
を考えていますが、セッションIDが無効かどうかはどのように判断できますか？