Подскажите делаю авторизацию вроди по всем правилам если введенный логин пароль найдены в БД то создаю переменные сесии и перекидываю на рабочею страницу. Далее проверяю опять существование переменных и насколько они правельные.
Глянте пожалуйсто код рабочей страницы правильно ли я понял то что пишут про авторизаию, код ниже.

И сам вопрос я создаю переменную $iduser. Далее у меня некоторые параметры а именно id гостиницы передаются в гет.

http://test1.ru/user/userpanel.php?hotel_edit=157&table=hotels&page=3

Даллее при работе я в mysql запросе спрашиваю: Выбрать данные где id гостиницы равно данным из пост (hotel_edit=157), и обязательно еще чтобы user - создавший эту запись был равен $iduser.
ТОесть если в гет указать другой id то т.к. записи удавлетворяющей этому требованию нет то и ничего показано не будет и пользователь сможет редактировать только свои данные.

Насколько это надежно ни как $iduser нельзя перезаписать? Можно ли переменную сесии както создать? Подменить?

 
<?
require('config.php');
require('module/dbconnect.php');
session_start();
if(!empty($errordb) || empty($_SESSION['iduser']) || empty($_SESSION['pmd5'])){
	header('location:userlog.php');
	die('Error!');
}
$query = "SELECT * FROM `users` WHERE `iduser`='".intval($_SESSION['iduser'])."' AND `pmd5`='".mysql_real_escape_string($_SESSION['pmd5'])."' LIMIT 1";
$sql = @mysql_query($query);
if(@mysql_num_rows($sql)>0){
	$sqlrow = @mysql_fetch_array($sql);
	$iduser = $sqlrow['iduser'];
	$fiouser = $sqlrow['fio'];
	$emailuser = $sqlrow['email'];
	if(empty($_SESSION['flagenteruser'])){
		$query = "UPDATE `users` SET `dlast`='".date("Y-m-d H:i:s")."' WHERE `iduser`='".$iduser."'";
		@mysql_query($query);
	}
	$_SESSION['flagenteruser'] = true;
}else{
	header('location:userlog.php');
	die('Error!');
}