retrofit1.9로 PHP에 요청하여 로그인을 구현 하고있습니다.

현재 안드로이드 RestAdapter에서 헤더에 실려오는 세션ID를 인터셉터해서 프리퍼런스에 저장하게 되어있습니다.

builder.setRequestInterceptor(new RequestInterceptor() {
            @Override
            public void intercept(RequestFacade request) {

                request.addHeader("Authorization", "auth-value");
                request.addHeader("Accept", "application/json");
            }
        });
        clienteOkHttp.interceptors().add(new AddCookiesInterceptor());
        clienteOkHttp.interceptors().add(new ReceivedCookiesInterceptor());

현재 사용자가 ID,PWD를 입력하여 요청하였을때 그게 일치한다면 인터셉터하고 문제가 없습니다.

근데 일단 요청을하면 PHP단에서는 ID,PWD가 틀리더라도 헤더에 실어 보내고 안드로이드에서는 헤더에 세션ID값이 있으면 무조건 잡아두니 앱을 껏다키면 바로 로그인되어버립니다.

(앱실행시 프리퍼런스에 쿠키가 비어있는지 체크해서 바로 메인으로 넘어갑니다)

그래서 ID와 PWD가 일치하지 않을때 PHP단에서 이렇게 처리해주었습니다.

session_start();
......
....

If(id,pwd가 일치) {
 //세션변수 설정
}
else if {
 //id,pwd 불일치
  $_SESSION = array();
  session_destroy();
}

이렇게하면 헤더에 안 실려올 줄 알았지만 헤더에는 ID값이 실려오니 문제가 됩니다.

1.결과적으로 로그인 실패했을때는 헤더에 세션ID값을 비우고싶습니다.

2.로그인시 ID와 PWD가 일치하다면 세션변수에 ID값을 넣은 후 사용자 정보를 조회할때 세션변수를 이용해 조회하고있습니다. 이렇게 사용자 ID를 실어보내는게 맞는방법인가요 ??

3.중복로그인을 구현하려면 DB에서 추가적으로 사용자세션을 관리해야하는건가요 ?

4.세션이라는것을 웹이아닌 안드로이드단에서는 크게 필요성을 못느꼇는데 ID같이 사용자정보를 클라이언트단에서 가지고있다가 필요할때마다 요청에 실어 보내는것은 보안상 문제가 있지않을까 싶어서 필요 할 것이다라고 느꼇습니다. 제 생각이 맞는가요..??