Qué es más riesgoso?

[Neuron_376]

Un ejemplo de lo que comentas, el ID del usuario lo pasas por el URL, pero esto tiene otros usos, como Logs, y ademas marcar session timeouts, etc, sin embargo esto no significa que no lo guardas en Session.

Imagina, si validaras paginas privadas usando el id del usuario que recibes por GET o POST, seria un error de seguridad enorme, sin embargo lo pones ahi y lo dejas ver porque internamente lo estas usando para otros casos, ademas esos sistemas trabajan directamente sobre sus URL, es decir, si tu cambias ese URL en 1 punto, te daras cuenta que en la pagina generada sigue usando el ID original y no el que tu pusiste, y si no te encuentras en una session, lo mas probable es que elimine ese ID de sus URL o bien, te marque un error de session.

Un ejemplo de su uso es tambien, por ejemplo, tu tienes varios lenguajes en tu pagina, es session estas pasando un id para tu lenguaje, sin embargo si el usuario no soporta cookies, la pagina sabra que lenguaje mostrar a traves del parametro que estas pasando por la URL, entonces, GET se convierte solamente en un respaldo, no en la base de tu sistema.

Suerte!!