如何拒绝恶意请求

我最近接管了一个应用程序，我们最近做了一个应用程序扫描，我发现一个项目被标记为易受攻击。报告建议的补救任务是拒绝恶意请求。报告显示appscan已尝试:

以下更改应用于原始请求:设置HTTP头为'http://bogus.referer.ibm.com'

我在第一次运行appscan时标记了这个，并放入代码来检查是否提供了urlreferer，如果是，那么确保它与url中的主机相同，否则会杀死用户的会话并重定向到登录页面。我们再次运行appscan，它又被标记了，我不知道如何处理这个

当我查看报告时，它显示它输入了虚假的推荐人，服务器响应了302状态，重定向，然后输入了一个登录请求，服务器响应了202，给出了它。Appscan推理说:

相同的请求在不同的会话中发送了两次，收到了相同的响应。这表明没有一个参数是动态的(会话标识符只在cookie)，因此应用程序容易受到此问题的攻击。

但是反应不是总是一样的吗?如果检查失败，将显示302和202，不管用户是谁，都会出现重定向和登录页面。有人知道怎么处理吗?我猜我可以把用户的会话id到重定向url，所以appscan会看到如果不同，但我认为必须有另一种方式。

这是一个。net 4应用程序。用户使用Session对象跟踪，如果这很重要，则没有使用Forms Authentication。