セッションcookieとセッション変数に保存していい内容

なんだかややこしいが・・・・
・セッションcookieにはセッションID以外保存しちゃダメ。
・セッション変数（$_SESSION）には、何を保存してもよい？
$_SESSIONにアクセスできるようになるのは、
/tmpに保存されているセッションIDとセッションcookieで送られてくるセッションIDの値が一致したときだから、$_SESSIONに何をいれてもよさそうな気はするが・・・。
なお、$_SESSIONはサーバのメモリ上に保存されるっぽい。
(/tmp配下のファイルじゃないよな・・・?)
ネットワークを流れないから、$_SESSIONの内容は安全かな・・・？