关于PHP session登录验证的一个安全问题

很多教程中，很多网站的登录验证或有的页面只对登录用户有效只验证了对应的session字段（比如：$_SESSION[‘username’]）是否为空，其实这存在一个安全就是，假如恰好用户在浏览一个网站用于登录的也是验证session,并为$_SESSION[‘username’]，当然这种概率很小，但是如果我们想看一个网站只对登录用户开放的页面，我们是不是可以找到这个网站系统对应的源代码看它的session字段呢？然后我们自己写一个php页面运行去注册session，这样理论上我们就是已登录用户就可以看这个页面了，比较好的解决办法就是用户登录后在服务器上创建一个临时文件存储用户登录时输入的用户名，在以后的页面session验证中直接验证这个session字段值是否与存储在服务器上的用户名相同就可以了