> Сессиями, куками или другими способами
> Самое главное - безопасность
Да все можно взломать! И номер сессии узнать и содержимое куки прочитать... И все это будет, если опытный хакер нападет.

> Есть вариант самому генерить ID, сохранять его и
> соответствующий айпишник в базе и самому же
> всё это проверять. Но хорошо ли это?
Несколько гемморно. Я лично использовал раньше сочитание сессий + проверка IP + запись в БД о посещении.