Hello,
$_SESSION habe ich mir eig. für Passwörter vorbehalten ;) .
Passwörter sollte man aber nicht in $_SESSION ablegen. Es ist leider immer mal wieder möglich, dass eine Session-Datei "entführt" wird. Da hängt ganz davon ab, wie sicher der Provider die Einrichtung vorgenommen hat.
Der Session-Key ist schon Unsicherheit genug. Aber der gilt immer nu eine gewisse Zeit.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg