Mam takie pytanie, jeżeli skrypt zdefiniuje zmienną sesyjną np:

[PHP] pobierz, plaintext 
$_SESSION['klucz'] = 'blablablabla';
[PHP] pobierz, plaintext 

To czy zwykły użytkownik jest w stanie zmienić tą wartość ?

Nie, chyba, zę jest ona zależna dokładnie od usera (np. GET-em przesyłasz), jesli jednak korzystasz z bezpiecznych źródeł, user nie zmieni tej wartości.

Ok, dzięki chodziło mi głównie o to czy mogę bezpośrednio z sesji wysłać wszystko do bazy danych bez kolejnego filtrowania.
Z tego wychodzi, że jeżeli dane zostały już raz przefiltrowane i umieszczone w sesji, to przy zapytaniu nie potrzeba ich filtrować kolejny raz.

Zależy jak były wcześnej filtrowane. Jeśli nie uzyles przy dodawaniu do sesji mysql_real_escape_string() to przed dodaniem do bazy należy to zrobić. Poza tym zamiast zabezpieczać przy dodawaniu do sesji powinno się zabezpieczać przed dodaniem do bazy.

Przefiltrowałem dane mysql_real_escape_string oraz strip_tags
Lepiej mi raz przefiltrować dane sesyjne niż pamiętać później o tym przy zapytaniach.