セキュリティ求められるシステムだと
cookieってセッションIDの管理ぐらいしか使わないのが普通なの?