Sprawdzone metody przetrzymywania danych dot. konta użytkownika

Pisze moduł do sklepu internetowego (SPA, całość javascript). Zasada jest taka że użytkownik doładowuje sobie konto i może kupować produkty. Pytanie, gdzie najlepiej przechowywać aktualny stan konta użytkownika. Proszę o opinie, bo zetknąłęm się z różnymi zdaniami na ten temat. Poniżej opcje z jakimi sie spotkałem:

1. Zapis do localStorage
2. Zapis do SessionStorage
3. Zapis do Cookie
4. Przy każdym dodaniu produktu request do serwera (ale to słabe podejście)

Opcje 1-3 oczywiście są aktualizowane przy każdym dodaniu produktu do koszyka. Jakie rozwiązania stosujecie i co jest najbezpieczniejsze, prosze o rady, opinie? Dane w localstorage i ciastkach łatwo podmienić na każdym etapie, więc przy wysyłaniu całego zamówienia do REST załączam również aktualny stan PLN do weryfikacji.

Po co serwerowi w ogóle podawać jakąkolwiek informację o stanie konta pochodzącą od klienta? Gdzie byś tego nie trzymał (lokalnie) to przecież request można podmienić w dowolnym momencie. Trzymaj sobie to gdzie chcesz, ale nigdy nie wysyłaj nawet tej informacji do serwera, bo nie ma takiej potrzeby.

oki, pytanie jak sie najlepiej zabezpieczyć przed taką sytuacją? Do serwera i tak lecą zahaszowane id produktów i to chyba wystarczy.

Przed jaką sytuacją?
Po co hashujesz id produktów?

Przed sytuacja gdy np. Wysylam id produktu i jego ilosc. Request z iloscia moze zostac podmieniony. Ogolnie gdzies ta kontrola powinna byc, czyli po stronie api.