Может ли пользователь изменить значение php сессии?

Есть такая штука, как кража сессии. Суть ее в том, что злоумышленник получает либо авторизационные куки, либо идентификатор сессии и использует их в своих запросах. И сервер думает, что это оригинальный пользователь.

Если вы используете стандартные средства ПХП, и у вас на сайте нет данных, кража которых значительно (именно очень сильно) скажется на пользователях, то можно все оставить так, как есть. В противном случае читайте книжки по обеспечению безопасности для веб-сайтов, но это, скорее всего будет иметь влияние только на объем ваших знаний, нежели будет иметь необходимую пользу.