Portal mit Login und Chat [6]

Wenn die Login-Abfrage korrekt beantwortet wird, könntest du z.B. die User-ID in der Session speichern und den User so bei weiteren Zugriffen identifizieren.

Die Session-Variablen werden serverseitig gespeichert. Clientseitig wird nur die Session-ID in einem Cookie oder im Query-String gespeichert. Die Übertragung der Session-iDs kann aber auch auf Cookies beschränkt werden, um zu vermeiden, dass Session-IDs in der URL z.B. durch Kopieren einer URL offengelegt werden.

Könnte man eine Session "fälschen"?

Es gibt verschiedene Techniken, eine Session zu entführen:

http://de.wikipedia.org/wiki/Session_riding

Tut mir leid, ich verstehe nicht ganz, was du damit meinst. Was ist der User-Code? Und was verstehst du unter "enthalten"? Die User-ID sollte in der Session gespeichert werden. Identifiziert wird die Session aber über die Session-ID. Diese alleine reicht allerdings nicht aus, deswegen wird hier empfohlen, zur zusätzlichen Überprüfung ein einmaliges Shared-Secret zu übertragen, welches bei einem CSRF-Angriff nicht generiert werden kann.

Ja klar, kannst du mehrere Variablen speichern

$_SESSION['var1'] = 'bla';
$_SESSION['var2'] = 'blub';

Wen es darum geht, Variablen zu speichern: eine Session. Ein Cookie kann vom Anwender manipuliert werden.