1) si direi di si
2) se l'utente non è registrato, quindi non lavoro sotto un login, utilizza il sessionID con l'aggiunta di ore/minuti/secondi per essere ancor più certo.

Roby