Нормально ли так делать?

Значит так и сделаю - просто сессию

Нормально ли так делать?

А если предположительно будет 2000-3000 пользователей и постоянно что-то добавляют в каталог?

Нормально ли так делать?

На сколько я знаю, сессия сама создает куку с id сессии. Ведь теоретически ее могут стырить?

Нормально ли так делать?

Разве я показывал в вопросе свой код? Все данные у меня проходят фильтрацию и валидацию, как на клиенте так и на сервере =)