Salve a tutti!
In questi giorni sto guardando argomenti come sessioni, login, cookies, e via dicendo. Navigando ho imparato qualcosa, ma ho un paio di dubbi che non sono riuscito a chiarire del tutto:

1) La funzione session_regenerate_id() va usata ogni volta che si fa un controllo di validità di sessione? Esempio:
Codice PHP:
session_start();

session_regenerate_id();

if(isset($_SESSION['username']))
{
  //sessione valida
} 
Se username è settato la sessione è valida, giusto?

2) Se utilizzo una funzione per il mantenimento del login tramite cookie, e poi, come ho visto spesso fare negli esempi, il cookie viene controllato per avviare o meno una sessione, è possibile che un attaccante possa ottenere il mio cookie ed utilizzarlo per loggarsi in modo fraudolento?

Sono relativamente nuovo di questi argomenti, e come sempre ogni consiglio è ben accetto.