[gibson]

Jag sätter en authentication cookie för alla registrerade användare när de loggar in så på den fronten är det inga problem. Det är ju en krypterad auth ticket.
Men däremot om man inte reggat sig och jag skapar en vanlig cookie istället för att spara i sessionen, kan inte användaren modifiera cookien och ändra id't på något sätt?

Siten är en budgettjänst där man skapar en budget online och id't är själva identifieraren som krävs om man inte reggat sig.