То есть как я понял сессия генерируется при авторизации и ей присваивается уникальпый хеш который сохраняется на сервере и в браузере клиента? то есть не реально сгенерировать такой индетификатор сессий*при подстановке которого в массив,переменная user будет иметь значение двойной ковычки?

Следовательно вмой код не уязвим?