net的客户端调用java的web服务，服务端怎样保持session以及通讯的安全问题

net的客户端调用java的web服务，在客户端怎样保持session以及通讯的安全问题?

1.当客户端从一个功能跳转到另一个功能，判断用户是否已经登陆应该由客户端来做，还是由服务端来做？如果由客户端来做，应该怎么做？已经很就没接触微软的东西了，不知道能不能实现？

目前的想法:
服务端的类从HttpServlet继承。用户从.net客户端登陆后，服务端生成一个Session对象，然后将用户ID保存到Session中。用户退出时，删除Session中的用户ID。用户从功能A跳转到功能B，从Session中取得当前的用户信息，如果用户ID存在，则证明该用户已经登陆过，从而完成了对客户端session的保持。

2.怎样防止非法用户模拟.net客户端和服务端进行通讯的问题.
现在想到的是server端传sessionID给client端,然后,客户端每次调用接口都传递这个sessionID过来,但具体怎么实现还没有想好.


如果有更好的解决办法，或者我的想法有什么问题，欢迎来批！