Du musst natürlich die Session-ID als Parameter übergeben. Du darfst aber nicht einfach nur vergleichen, sondern auch schauen, ob die Session-ID gültig ist. Viele machen eine zeitbasierte Gültigkeit.

Wenn Du einfachen Vergleich machst, dann kann jeder sehr schnell selbst eine gültige Session-ID erzeugen.

Schau Dir z.B. mal das Modul CGI::Session an. Dazu gab es hier auch schon mehrere Diskussionen.