今日から試してみてるんだけど、
WOみたいにURLはSessionIDだけにならないのかな？

http://localhost/app?service=page/xxxx
だと、任意のページに自由にアクセスできてしまうよね？