Session hijacking verhindern

[M.]

Aber wenn der Benutzer keine Leserechte hat?

Dann prüfst du doch wohl intern die entsprechenden Rechte und gibst ne Fehlermeldung aus.  Wenn die Daten, die nicht gelesen werden sollen, bis zum Browser kommen, hast du ein Konzeptproblem auf dem Server, keins mit dem Client