ありがとうございます。サーバサイドに保存しているリソースであるところのユーザのIDが入っていて、ユーザの実体はサーバサイドにあるじゃないかといわれるとそうなんですが、それがREST的にNGだとは思いませんがいかがでしょうか。的なのかなとは思いました。BASIC認証やDigest認証も使えます。あのあまり見栄えの良くないブラウザダイアログを許容するのであれば、ごく少数のユーザ向け認証はhttps+BASIC認証でやったりもします。session[:user_id]的な識別子が欲しい場合request.env['Authorization']を適宜パースすればよさそうです。アプリとして提供する場合はやはりあのダイアログは駄目ってことになりそうですが使いどころはあるんですね。64KB以上のデータをセッションに入れたい場合は、セッション情報をDBに入れてCookieにはセッションIDだけを保存することも可能です。--こちらは上述の通り、権限やロールぐらいの情報だとどうするのかなーという点が気になりました。18:11丁寧な回答ありがとうございます。幾つか追加で教えて頂いて宜しいでしょうか。Cookieに入れます。wayであるとされています。みたいなコードを見るのでサーバーサイドにセッションを保持しているのかと思っていました。するのかなと思っていたのですが・・・。あたりにセッション情報を保存するのかなと思っていました。保存するのはマズいですよね・・・?1うーんなるほど。盗聴されてしまった場合はどうしようもないのですね。利用されたらなりすまし可能であると。通信を覗かれるとどうしようもないですね。危険というのはこういうところなんですねぇ。ページ、教えて頂いてありがとうございます。盗聴)されるケースってあるのでしょうか......?この対応はやや過剰に思えますが、念のためということなのでしょうか。どれほど一般的なのかなと疑問に思いました。