一个关于session的安全问题

我理解的session：
        session在会话过程中会提供一种安全机制：比如登录一个校友录或者个人邮箱，只能输入用户名和密码才能登录，为了防止其他用户仅仅在IE地址栏仅仅输入我登录邮箱以后的url地址便能进入我的邮箱，session在我登录邮箱建立会话时会生成一个随机的很长的string，同时存入服务器和本地机，以便在我进行邮箱页面中的操作时每次都用我的本地机上的string和服务器的string比较，相同则成功操作，否则返回错误。这样便可以防止仅输入进入邮箱后的url便可以登录。
       不知道我这样的理解对不对，请那位高手指导一下。另外：sessionid有什么用阿？session的这种功能是要我们自己设置的吗？