Hallo!
Ist es möglich, dass man eine recht sichere Session über den Request erstellen kann, ohne unbedingt Session-Daten zu speichern, z.B. via Cookies oder in einer Datenbank?

Ich hatte mir das so gedacht:
Meine bisherige Session:


Dazu wollte ich jetzt noch, außer der eindeutigen Zufallszahl eventuell noch eine jeweils für jeden Spieler festgelegte, einzigartige ZufallsID anlegen. Wieso weis ich jetzt nicht mehr genau, ich kam in Französisch drauf. :)

Jedenfalls besteht das Problem eindeutig darin, eine Session im Request zu übergeben, die den User, den letzten Seitenaufruf und eine eindeutige ID enthält, und mit der ich den User auch identifizieren kann.
Ich glaube, es geht mit der Zufallszahl, es leuchtet mir nur noch nicht ein.

Ein einfaches Beispiel: Klassiches Spiel, der User A geht in seinen Account und baut etwas in seiner Stadt.
Jetzt geht User B hin, nimmt sich seinen Request und trägt einfach die Koordinaten der Stadt des Spielers A ein und bricht den aktuellen Bau ab.
Das muss ich ja verhindern.

Am besten so, dass nicht jeder Depp hingehen kann und in die Session sid=1066151397XYpktmXY0PT169158935546875 seinen Namen reinschreibt und dann in dem Account eines anderen rumfuchteln kann.

Problem klar?
Ich versuche mich derweil mal noch in ein paar Ansätzen.
Bitte nicht hier posten, wie man es mit Speichern von Daten am besten löst, wenn ihr dieses Bedürfnis verspürt freue ich mich über PM.
mfg pktm