Mahlzeit,
Na, eine Prüfung mit in_array($_SESSION["lang"], array("en","de")); oder ein switch dürfte doch aber reichen, oder?
Sicher würde das in diesem Fall ausreichen. Aber nur dann, wenn der OP es so prüft, was ich nicht weiss.
Allerdings ist die Abfrage dann konzeptmässig nicht der Brüller, weil der Code geändert werden muss, und somit der Wartungsaufwand steigt.
Also entweder das Array in einer Config ablegen oder die Prüfung anders durchführen. Hier würde ja schon reichen, die möglichen Werte auf 2 Zeichen zu begrenzen, denn kein Schadcode kommt mit 2 Zeichen aus ;)