Здравствуйте. Пробую писать авторизацию администратора в админ-панеле.
В БД есть логин и пароль.
В случае если пользователь вводит верные данные в форме авторизации - заводится сессия и в нее пихаю id состоящий из логин + случайное число. Теперь вопрос: А может ли юзер (неавторизовавшийся) взять и как-нибудь завести эту же переменную в сессии (зная строку (логин + случайное число)  и получить доступ к закрытой части контента?

Конечно. При условии:

переменные сессии хранятся на сервере. если уж пользователь сможет получить доступ(скажем, по ftp) к серверу, он уже не будет заморачиваться "поддедыванием переменных" - он просто возьмет, и "сольет" нужную себе информацию.
так что даже

как бы не надо.

Добавлено через 37 секунд
Daevaorn, проясни. я себе такое не представляю.

2Daevaorn, а как?

2skyboy, спасибо, хотел еще спросить "а сама структура распознания администратора нормальная"? Мне бы хотелось, чтобы Вы оцениле стабильность данной схемы.

я понял, что автор таким не замысловатым способом делает id сессии, который хранится как раз у клиента.

Я думаю, материал, приведенный мною ссылкой ниже то, что вам надо.
Ссылка: http://phpclub.ru/detail/article/sessions

Staind, зная логин и секретное число (которое здесь не нужно совсем) - нет.
А зная идентификатор сессии - легко.

Узнать идентификатор - сама по себе нетривиальная задача, и рассматривается скорее теоретически. Но такие люди, как, скажем, админ офисной сети, могут посмотреть его не напрягаясь. (впрочем, такие люди могут и почту юзера смотреть и много ещё чего, так что сессия им врядли будет интересна). но для защиты от кражи идентификатора можно прменять пару способов.
1. простой - записывать в сессию IP адрес и проверять его каждый раз. В случае офисной сети и админа защиты практически не представляет.
2. сложный - сделать админку доступной по протоколу HTTPS. Трафик его шифруется, вместе с заголовками, и админ ничего не увидит.

2Mal Hack, спасибо за приведенную статью. Поможет...

2Feldmarschall, огромное спасибо за способы. Я, пожалуй, выберу способ с прицеплением к переменной сессии ip адрес.
То есть у меня будет так:
После проверки данных создается две переменные в сессии:
1 - Уникальный идентификатор пользователя
2 - IP пользователя

При посещении "закрытых от внешних глаз страничек" будет происходить проверка Ун. идентификатора и сверятся IP пользователя. Если все верно, то даем доступ к страничке.
По идее, если нежелательный юзер узнает id сессии и сможет подключится к ней, то уж точно не сможет зайти на страничку, т.к. IP не совпадают. Еще раз огромное всем человеческое спасибо.

не совсем. надо бы писать "если ip не совпадают".
если это корпоративная сеть - шлюзов, ip которых будет видно РНР, несколько, а, возможно - один.
если это GPRS-канал оператора мобильной связи, шлюзов на всех пользователей тоже будет не так много, и вероятность совпадения ip далеко не мизерна.
мораль сказки: если тебе так секретно надо, уж лучше используй вариант с применением https.

Ясно. Да, со шлюзами я не предусмотрел :(
Ну это обычная админка, скрывать пока вроде нечего, тогда пока пусть так будет. Просто с https еще ни разу не работал.
Всем еще раз спасибо 

P.s. Форум хороший