W celach naukowych piszę sobie CMS'a.
Mam tam między innymi panel admina. Logowanie przebiega tak:
Na początku każdej strony jest session_start();
Logowanie: plik login.php dostaje od formularza postem login i haslo, login i hash hasła są sprawdzane w bazie danych, jeśli wszystko się zgadza tworzę $_SESSION['logged'] = 'yes';
I strona może wyświetlać 2 widoki - dla użytkownika zalogowanego i dla użytkownika niezalogowanego. Warunek zalogowania? Czy istnieje zmienna $_SESSION['logged'] i czy jest ustawiona na yes. Jeśli tak wyswietla się content dla zalogowanych, jeśli nie - wyświetla się content dla niezalgowanych, np. loginform.
Wylogowanie:
W skrócie:

[PHP] pobierz, plaintext 
unset($_SESSION['logged']);
	session_destroy();
[PHP] pobierz, plaintext 

I pojawiają się 2 pytania... Czy jest to bezpieczne? Czy ktoś nie może sobie utworzyć zmiennej sesyjnej takiej jak podana i sie po prostu wbić?
Gdzie przechowywać takie dane jak id zalogowanego usera? Przydatne przy np. zmianie hasła.

[PHP] pobierz, plaintext 
session_start();
 
if (isset($_SESSION['agent'])) {
  if ($_SESSION['agent'] <> $_SERVER['HTTP_USER_AGENT']) {
 
    // tutaj wylogowanie, nastąpiła zmiana nagłówka
    // i ewentualne przekierowanie do strony z logowaniem
 
    session_unset();
    session_destroy();
    exit;
 
  }
} else {
  $_SESSION['agent'] = $_SERVER['HTTP_USER_AGENT'];
}
 
// dalsza zawartość strony
[PHP] pobierz, plaintext 

W zmiennej sesyjnej $_SESSION['agent'] zapisujesz nazwę przeglądarki użytkownika, której użytkownik zwykle nie zmienia w czasie trwania sesji. Natomiast bardzo prawdopodobne jest, że osoba atakująca (przechwytująca sesję) będzie miała inny nagłówek HTTP_USER_AGENT.

Hm, ok, to jest chyba dobry pomysł (na pewno można jeszcze wiele rzeczy (; )
Jeszcze jedno... Można tworzyć client-side te zmienne sesyjne?
I czemu jak stosuję rozwiązanie to pierwsze swoje to dopóki się nie wyloguje jestem zalogowany? nawet jak zamknę i włącze ponownie przeglądarkę?

[PHP] pobierz, plaintext 
if ($_SESSION["czas"] and $_SESSION["czas"]+60*30<time()) { // 30 minut i następuje wylogowanie
  echo "Sesja wygasła - nastąpiło automatyczne wylogowanie...";
  session_unset();
  session_destroy();
}
$_SESSION["czas"] = time();
[PHP] pobierz, plaintext 

Automatyczne wylogowanie po 30 minutach

może lepiej załóż 2 zmienne:

[PHP] pobierz, plaintext 
$_SESSION["username"] 
$_SESSION["md5password"] 
[PHP] pobierz, plaintext 

i je przyrównuj, możesz rozpoznawać użytkowników, jak ktoś zmieni hasło, to od razu go wyloguje etc...

Ok dzięki... poprzerabiałem już klasę autoryzacji... dodałem jeszcze przy sprawdzaniu w bazie danych żeby zwracało id usera i zapisywało w $_SESSION['user_id']

Edit, chociaż jeszcze "Można tworzyć client-side te zmienne sesyjne?"