基于ajax的两阶段认证

我们有一个ajax应用程序，它需要两个步骤，首先用户输入用户名和密码，然后如果正确，就会出现一个挑战性的问题。 管理流程的最佳实践是什么？我计划在第一阶段之后生成一个临时会话id，用于第二阶段。然后在第二阶段正确回答challange问题后生成永久会话id。此永久会话id将在后续请求中使用。

---

会话ID是否必须在ajax调用中作为参数显式传递？任何建议都值得赞赏。

会话管理基本上有两种方法：在每个请求上使用一个额外的参数，这需要URL重写所有链接，或者使用cookie