匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。
・イメージとしては5ちゃんねるみたいな匿名掲示板
・ログインはなし
・匿名だが各人にIDが振り分けられる
・IDの管理について悩んでいる
利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、利用者に発行する仕組みを作りました。利用者側からクッキーに保存されているこのIDをサーバーに送り、サーバーのDBのレコードと照合して同一人物であることを確認します。ここで長らく悩んでいるのはこのIDを利用者のブラウザのクッキーに保存することは危険ではないか、ということです(そのように書かかれているブログが散見されますし)。かといってブラウザのどこかにIDを保存しておかないと同一人物であることはわからないですよね(?)。
IDをクッキーに保存しないでセッションIDとしてJSON Web Token(JWT)をクッキーに保存する方法もあるようですが、JWT自体を他人に知られてしまえば、それを自分のPCのクッキーに設定すればなりすましができそうに思います。
クッキー自体見られたら諦めるしかないのか、ということでもなさそうな気がします。根本的なところから間違っているからも知れませんが、ヒントでもよいのでご教示いただければ幸いです。