1. Wie schon gesagt, einmal dafür sorgen daß es nur eine Möglichkeit gibt, die SessionID (SID) zu übertragen. Idealerweise nur per Cookie und nicht per URL-Parameter (womit das Verlinken einer Session möglich wäre).

2. Die Gültigkeit einer Session zeitlich begrenzen, dafür gibt es verschiedene Möglichkeiten.

3. Dafür sorgen daß eine SID eindeutig ist und
4. eine einmal vergebene SID nicht wiederverwenden.

MFG