session验证登陆的一点疑惑

验证是否登陆时只要验证用户名是否存在可以吗？
比如登陆后session("u")得到赋值
然后判断session("u")的值是否为空来判断有没有登陆

这样的话安全吗？
会不会有什么方法可以不登陆也能给session("u")赋值