为什么在登录状态下重新设置密码时，需要输入旧密码（如图）...（是为了防止横向越权?）

Question

其中,前端接口:

登录中状态重置密码 /user/reset_password.do
request
    passwordOld,passwordNew

Answer 1

1. 如果不要求输入当前密码，如果你账号未退出登录，那么任何人都可以直接操作你的网页把你的密码修改了；
2. 服务端实际上根据sessionid来判断是否登录，如果sessionid被非法截取，是否我也是可以直接不输入密码伪造重置密码，从而达到修改你密码的目的？