FreeSWITCH 的 session 是整个系统最核心的抽象——它是一路呼叫的容器，也是它的边界。这篇顺着源码，把一次呼叫从 SIP INVITE 进来、到 session 创建、媒体协商、桥接、挂断销毁的完整生命周期讲清楚：哪些数据是线程私有、哪些是共享，session 为什么和内存池、线程死死绑在一起，以及为什么"把会话从服务器 A 迁到服务器 B"这条路基本走不通——真要做会话漂移，让客户端 endpoint 重连新服务器，比在服务端桥接靠谱得多。

认证翻车和会话翻车, 往往不是因为黑客太聪明, 而是我们把"登录态"当成了万能钥匙: cookie 没设好、token 乱放、会话不轮换、登出不失效。本文用人话拆解常见坑, 给出 Java/Go/Python 可直接抄的防护套路与自检清单。