Metti in sessione l'id e confronta quello con l'id nel db (in pratica la stessa cosa che fai ora con l'username, ma con l'id).
I "furbetti" possono cambiare l'id nel link, ma non quello in sessione.