Ich muss doch sowieso ständig prüfen welche Rechte ein Benutzer hat.
Ja, aber das passiert auf dem Server nicht im Client.
Also ist es völlig egal, ob jemand die Session kapert, der Angreifer darf auch nur das, was der reaguläre User darf.
nicht angemeldet