情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

スレッドタイトルの設問についてです。
模範回答は、
「cookieの値で利用者アカウントを特定し，order-codeの値から特定したものと違っていれば，エラーにする。」 
となっていますところ、これはorder-codeの値を利用者ごとに決定したランダムな値にすれば、総当たり攻撃も防げるし、利用者ごとに決定した値なのでなりすましもできないと思います。しかしこの答えは正解ではないとのことで、なぜこの回答が正解にならないのか納得がいきませんので、理由について教えていただけませんでしょうか。