決済システムのトランザクション（購入ボタンクリック〜決済完了まで）の値をDB格納で行おうと考えています。

Question

現在、外部決済APIサービスを利用した、自社製ECサイトを運営しております。

カート機能はなく、ざっくり
商品選択　→　会員登録（or ログイン）　→　決済

というような簡単な作りなのですが、
この画面遷移の値の受け渡しを現在SESSIONで構築しており、
SESSIONの不安定性が課題となっています（Google App Engineを利用しており、どこかのタイミングで値が消えてしまう、などがありました）。

そこで、タイトルの通り、
商品選択画面の購入ボタンクリック　〜　決済完了までの値の受け渡しをDB格納で行おうと考えております。

DBのテーブルとしては、

id
商品id
決済金額
送付先情報
連絡先
決済完了フラグ

のような構成にしようと思っており、画面遷移ごとに値が格納されていく想定です。
商品選択をすると、idが新規付与され、商品idが格納される。
会員登録すると、送付先情報・連絡先が格納される、
といった具合です。

クライアント側との紐付けはクッキーで行おうと考えており、
クッキーに、上記テーブルのidを記載しておくことで、画面読み込み時にそのidを元にDBに確認、整合性をとる想定です。

全て自分の頭の中で考えたことなので、
このような構築方法で問題ないかどうかが知りたいです。

セキュリティ的に問題がある、や、もっといい方法がありましたら、
ご教示いただけますと幸いです。

よろしくお願いいたします。

Answer 1

cookieにテーブルのIDを直接入れるのでは無く、セッションそのものをDB管理や寿命の長いKVSで管理するようにするのが正攻法かなと思います。
参考

どうしてもcookieに提示のテーブルのidをもたせたいのであれば、PHPのセッション管理と同等のセキュリティを自前で確保する必要があります。

Answer 2

SESSIONの不安定性が課題と

セッションが不安定ならクッキーも不安定だと思います。
基本的にsession_destoryしたり上書きしたりしなければセッションは最も安定した仕組みの一つです。
ただしどうしてもセッションが安定しない場合は、
確認画面をすっとばしてすべてget/postで処理してしまうのも手だとはあります