Saniyorum arkadas guvenligi sormus,

session icerigi herzaman guvenlidir, sen yazar sen silersin, session ile userin tek baglantisi phpsessionid dir, eger istersen bunu kendin kodlayabilirsin

guvenlik acisindan en guzeli icinde ip adresinin oldugu bir session start yontemi secmektir.

orn : md5(key.ip_adresi)

bu senin session id olsun ornegin, eger sen bununla session baslatirsan ve bunu check edersen, herhangi bir sekilde (xss, trojan vs..) kullanici cookielerini kaptirsa bile baska ip adresinde gecerli bir session baslatamaz.