IDとパスワードを認証させるためのセッション周りを作っているのですが、
$_SESSION["hoge"]は$_POST["hoge"]のように変数を書き換えられないと
考えて良いでしょうか？
例えば、POST変数は他サイトからPOSTすれば容易に変更が可能になるかと思います。
SESSION変数ではこの点は心配しなくてもいいでしょうか？

具体的にはIDのみをSESSION変数として格納して持ち歩くか、
ID/PASS両方をSESSION変数として持ち歩くかで悩んでいます。
SESSION変数を外部から書き換え不可能なのであれば、
IDが書き換えられる心配が無いので、
IDのみ持ち歩くだけでも問題ないと思いますが、
もしそうでないのであれば、
持ち歩くページ毎に$_SESSION["ID"]と$_SESSION["PASS"]を
利用して認証を行わせる方法が必要かなと考えています。

どうかアドバイスお願いします。