>>647
何も制限無しの状態で、そのセッションキーを含むURLが
どこかに晒されてしまえばそういうことは無いとは言い切れないね。
nocacheとかrobots.txtとかをすべて無視する検索エンジンがあるかも解らんし。

それを防ぐためには、例えば接続元のIPアドレスを記録しておいて、
完全一致でなくとも、例えば上位24bitが一致しているか調べたり、
短時間でセッションを破棄する、などの対策を組み合わせて行う必要がある。

携帯だとアクセス毎に接続元が大きく変わるかもしれないけれど、
各キャリアのIPアドレス帯域は公開されているからそれと照合して
同じキャリアか確認すればそれなりに安全になるんじゃないかな。