ありがとうございます。サーバサイドに保存しているリソースであるところのユーザのIDが入っていて、ユーザの実体はサーバサイドにあるじゃないかといわれるとそうなんですが、それがREST的にNGだとは思いませんがいかがでしょうか。的なのかなとは思いました。BASIC認証やDigest認証も使えます。あのあまり見栄えの良くないブラウザダイアログを許容するのであれば、ごく少数のユーザ向け認証はhttps+BASIC認証でやったりもします。session[:user_id]的な識別子が欲しい場合request.env['Authorization']を適宜パースすればよさそうです。アプリとして提供する場合はやはりあのダイアログは駄目ってことになりそうですが使いどころはあるんですね。64KB以上のデータをセッションに入れたい場合は、セッション情報をDBに入れてCookieにはセッションIDだけを保存することも可能です。こちらは上述の通り、権限やロールぐらいの情報だとどうするのかなーという点が気になりました。SPAM対策のためのダミーチェックです。表示されていてもチェックしないでください。頂いたご意見への回答は行っておりません。