引用：
いや、なんだか私がtransactionidをそういうチェックに使おうとしているだけで、実は意味が違ってますか（笑）。

現在はisValidToken()で照合済みtransactionidはsessionからunsetされていて、これは仕組みとして非常に安全な状態だと思います。
transactionidの履歴みたいなのを持つとなると有効期限を設定しなければいけないでしょうし、なんだか規制緩和しているみたいなのがちょっと引っかかるんですよね（汗）。
遷移自体を整理しなければいけないのは、コードを追っていて理解しました。


ちなみに現在のgetToken()は、すでにtransactionidが存在する
（getToken()はしたがisValidToken()はしていない）場合は既存のtransactionidをそのまま利用するようになっています。
これはなにか理由があるのでしょうか？
getToken()では常に新しいtransactionidを発行したほうがよいと思うのですが...