Sessionsvariabler ligger hela tiden på servern, clienten ser dom inte.
Klienten kan inte manipulera, men har man access till servern så skulle man kunna göra det, men då har man också tillgång till php-koden.
Så ja det är tillräckligt säkert 
Trådstart#1
Sitter och utvecklar en mindre applikation och funderar på vad som är bästa sättet att hantera användar-ID.
Spontant tänkte jag hämta användar-ID (0...n) från databasen och lagra i sessionsvariabel - men detta är kanske inte säkert nog? Är sessionsvariabler säkra eller går de att manipulera?