А в целом безопасность такого механизма норм?Ровно такая-же как и при использовании сессий, за исключением механизма генерации "рандомной" строки, которая достаточно хорошо реализована в механизме сессий, а в вашем случае о нем вообще ничего не известно. При равном уровне исполнения сессия выигрывает только удобством пользования, но вы тоже можете обернуть свой костылик в какую-то оболочку и воткнуть в базовый контроллер, получив доступ к похожему механизму. Собственно в большинстве популярных фреймворков есть стандартные реализации сессии не через сессии пхп.