[ZN]

Du ska se till att register_globals = Off i PHP.ini för det första, det ökar säkerheten och då
ska du inte kunna exploita genom querysträngen genom typ att lägga till ?admin=5, förutsatt
att du förståss inte använder $_GET['admin'] i koden.

Sen beror det helt på hur du ställer in att sessionerna ska fungera, väljer du att stänga av sessioncookies
helt och aktivera session.use_trans_sid istället så skickar ju sessionsID med i varje länk...

Annars gäller ju den enkla regeln att alltid kontrollera indata, så att man får vad man är ute efter.