Пользователь может изменить сессионный массив в PHP?
Вытаскиваю из базы в $_SESSION у пользователя.
шта?
Не представляю как данные в session связаны с проверкой баланса, точнее боюсь представлять.
Нет, пользователь не может изменить сессию никак.
не совсем верно, можно подменить.
подробнее о сессиях - https://m.habrahabr.ru/post/120636/