ma perchè gli passi la sessione nell'url ?