如果不需要用户登录认证，服务器如何辨别每一个用户？

现在有这样一个需求，给店面提供一个抽奖功能的 H5 单页面，用户打开这个页面就是一个类似转盘抽奖的活动。 这个单页面很简单，进来就是抽奖，这个单页面也仅仅是一个单页面和 Java 程序服务器互通。

问题来了，由于用户不需要登录，用户点进来就开始抽，抽不中退出去再进来再抽，直到抽中为止。

想了几种方案都不足以保证安全，分别如下。

1. H5 页面的 session 中生成唯一 ID （ PS:用户可以清缓存）
2. 用户在打开页面的时候将设备和 IP 信息发送到服务器风险控制接口评分（但是 IP 实际上总是变动）
3. 原本有页面生成的唯一 ID 由服务器根据 IP 和设备信息生成唯一 ID （还是上面的 IP 变动问题）
4. 抽奖前先上用户输入手机号（没法发验证码，而且发验证码增加了用户的等待时间），会导致用户不停的输入新手机号码抽奖，直到抽中为止，然后告诉我们店家手机号输错了（我们这个活动没那么严格）。

对于这种简单的场景，应该怎么来实现这个功能呢？ 还是我的大方向错误了，这个流程有更正确的方式呢？