session_id能否作为客户端唯一标识

最近网站被恶意刷注册，怀疑验证码被破解，ip也不是固定的，问下session_id能作为唯一标识进行限制吗