我的看法，session本身并不是解决安全这个系统需求的吧。
因为HTTP是无状态的协议，也就是每次请求重新建立TCP连接。
因此需要一种机制让服务器端能够知道这个请求上次来过。
这就是session机制的作用。即当一个客户端第一次请求时，服务器发送个session id给客户端，以后每次请求客户端都携带这个id。
如果需要解决安全这个需求，一般要使用HTTPS，让整个通信线路SSL加密，才可以解决基本安全问题。