Ja, traue nie dem Zustand einer Session, das ist nun klar.

Und wie vertraust du, dass übertragene Daten zu denen auf dem Server gespeicherten persistent zu haltenden Daten passt?
Was für ein Konzept nutzt du? Wie testest du deren Sicherheit?