können session_variablen von außen ausgelesen werden

[Reiner]

Wenn man schlau ist, lässt man das lieber - weil sonst der Nutzer selber die Seite vielleicht nicht mehr nutzen kann. IP-Adressen können wechseln, auch zwischen den einzelnen Requests eines "Besuchs" - Stichwort bspw. AOL-Proxies.

kommt auf den Anwendungsfall an. In vielen Fällen wäre mir das egal!
Wenn ich dadurch die Sicherheit erhöhe...
Alternativ: SSL, aber u.U. zu überdimensioniert.

Gruß Reiner