Хотя я не знаю, каким образом пользователь мог бы манипулировать информацией в $_SESSION, если ваш код (или код на вашем сервере) не позволяет им, так что не делайте ничего сумасшедшего, как ...
foreach($_POST as $key=>$value) { // DON'T DO THIS
$_SESSION[$key] = $value; // DON'T DO THIS!
} // WHY ARE YOU DOING THIS!?
Вы не должны делать ничего подобного, когда вы просто помещаете все данные, которые пользователь дает вам, в ваши $_SESSION переменные. Как и в базе данных, запись в сессию должна рассматриваться как форма вывода, и вам следует соответствующим образом очистить то, что вы в нее поместили (и куда ее положили).
Итак, если вы не делаете что-то сумасшедшее, как это (возможно, это может быть гораздо более тонким), я не думаю, что вам нужно беспокоиться о том, что пользователь изменит переменную сеанса. Возможно, вам придется беспокоиться об угрозах среды общего хостинга , где кто-то, кто, вероятно, не совсем конечный пользователь, манипулирует информацией о сеансе.
Что не так безопасно, так это идентификатор сессии, так как есть несколько простых способов взломать сессию в PHP .
Я рекомендую проверить ту книгу, на которую я ссылаюсь, Essential PHP Secutiry . Это очень маленькое и прямое (но подробное) объяснение нескольких основных концепций безопасности PHP, многие из которых могут быть обобщены и должны учитываться при выполнении любой работы веб-разработчика.