Правильно ли так делать?
==========================

 Правильно ли будет с точки безопасности, если я использую id пользователя чтобы вывести его запись? Например мне нужно показывать пользователю лишь его записи и чтобы он не мог видеть, редактировать чужие записи. Будет ли правильно если я записываю его id в сессию а потом проверяю принадлежит ли запись этому id? 

 Чтобы не светить конкретно сами ID - можно записывать его в сессию в виде какого-либо хеша, и проверять соответствие не user\_id <=> owner\_id, а hash(user\_id) <=> hash(owner\_id) 

 Да, вы можете хранить ID пользователя в сессии. Обычно так и делают: хранят auth\_token, user\_id и username, например.   

Таким образом, вы в любой точке приложения можете получить всю информацию о текущем пользователе: вывести его имя, например. Или же сформировать ссылку для редактирования новости.  
  

Только не забудьте, что на странице редактирования новости необходимо проверить - есть ли права у текущего пользователя на редактирование именно этой новости (показать/спрятать ссылку - мало, необходимо точно убедиться, что права на совершаемое действие есть).