Alışveriş sepetinin client'ta tutulmasında bir sıkıntı yok. Zaten orada tutulması lazım çünkü logged in olmayan kullanıcılar da sepet oluşturabiliyor. Cookie'de satın alınacak eşyanın order_number gibi bir id'sini tutup sepette o id üzerinden database'den veri çekersiniz. Local storage da kullanılabilir bu arada.

Bilen biri her türlü müdahele edebilir fakat bu bir sonuç elde etmesine olanak sağlamaz. Önemli olan çerezlerdeki bilgileri ne için kullandığın sadece ürünlerin id'lerini tutar isen sunucu tarafındada fiyatı hesaplatırsan istediği kadar onaysın hiçbirşey değişmez. Local storage içinde aynısı geçerlidir.