匿名掲示板のIDをクッキーに保存するのは危険ですか？


匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。  
・イメージとしては5ちゃんねるみたいな匿名掲示板  
・ログインはなし  
・匿名だが各人にIDが振り分けられる  
・IDの管理について悩んでいる

利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、利用者に発行する仕組みを作りました。利用者側からクッキーに保存されているこのIDをサーバーに送り、サーバーのDBのレコードと照合して同一人物であることを確認します。ここで長らく悩んでいるのはこのIDを利用者のブラウザのクッキーに保存することは危険ではないか、ということです（そのように書かかれているブログが散見されますし）。かといってブラウザのどこかにIDを保存しておかないと同一人物であることはわからないですよね（？）。

IDをクッキーに保存しないでセッションIDとしてJSON Web
Token(JWT)をクッキーに保存する方法もあるようですが、JWT自体を他人に知られてしまえば、それを自分のPCのクッキーに設定すればなりすましができそうに思います。

クッキー自体見られたら諦めるしかないのか、ということでもなさそうな気がします。根本的なところから間違っているからも知れませんが、ヒントでもよいのでご教示いただければ幸いです。




何に不安を感じているのか分かりませんが・・・

匿名アクセスを許さずユーザー認証が必要なサイトでも、認証チケットをクッキーに入れて HTTPS 通信でやり取りするというのはごく普通に行われていることです。

また、例えば、ネット通販サイトで最初は匿名アクセスしてカートに商品を入れ、決済する時にログインするということができるサイトで、ログイン前は匿名ユーザー用クッキーを使ってユーザーの識別を行うこともあります。

ということで、匿名ユーザーの識別用にクッキーを使うことに「根本的なところから間違っている」ということはないと思います。




何に不安を感じているのか分かりませんが・・・

匿名アクセスを許さずユーザー認証が必要なサイトでも、認証チケットをクッキーに入れて HTTPS 通信でやり取りするというのはごく普通に行われていることです。

また、例えば、ネット通販サイトで最初は匿名アクセスしてカートに商品を入れ、決済する時にログインするということができるサイトで、ログイン前は匿名ユーザー用クッキーを使ってユーザーの識別を行うこともあります。

ということで、匿名ユーザーの識別用にクッキーを使うことに「根本的なところから間違っている」ということはないと思います。

