Ganz recht. Auch meine Meinung. Und was den Klartext betrifft:

Es gibt Algorithmen wie SHA oder MD5 mit denen man Name+Passwort hashen kann, also das Id-Token nicht zufällig erzeugen. Damit entfällt auch der ganze Aufwand der Sessionverwaltung.

MFG