Traue niemals dem Client ;-)
Der Benutzer kann beliebige Cookies zurückschicken (so wie er auch beliebige Formdaten schicken kann), d.h. du solltest bei der Session-ID bleiben und die Privilegien Server-Seitig speichern.