Насколько безопасна реализация запоминания пользователя?
Требуемый параметр называется "криптографической стойкостью".
Большая часть самопальных решений "из букв и цифр" такой стойкостью не обладает. 
Как не обладает ей и  uuid v4.

На данный момент рекомендуемым решением является использование функции random_bytes()
$token = bin2hex(random_bytes(24));
Далее токен пишется в БД и в куки пользователю.
ну значит нужно отдавать не id а uuid v4 (это пример, можно любой другой рандом, чем больше, тем лучше), а id хранить в таблице на стороне сервера, причем можно еще делать отдельную привязку к ip / useragent или времени последнего запроса (например ip (или диапазон) может измениться в течении суток-двух, у useragent версия увеличиться на 1, иначе сессия с таким id невалидна)