세션 id나 쿠키, ip 정도가 합법적인 부분에서는 전부인가요?
그냥 같은 기기면 동일한 사용자로 식별할 정도면 되는데