beh, credo che in ogni caso se assegni a $_SESSION['codice_utente'] un valore che hai nel database e non tenti di modificarlo, l'utente normale, e quindi lo script (programma è un altra cosa) non può modificarlo