Was wäre wenn du ne verschlüsselte Session ID übergibst, denn die könnte man nicht so leicht verändern? Dafür könntest du DES oder IDEA als Verschlüsselungsverfahren benutzen.