è corretto mettere l'id in sessione. non l'email.