Witam,
mam pytanie czy mechanizm logowania działający na sesjach jest w miarę bezpieczny.
Wyczytałem nieco na kilku serwisach no i na początku przerzucam do cookies aby nie można było nic grzebać w adresach:



W samych sesjach trzymam dane sprawdzane przy każdej odsłonie:
- ID usera
- częściowo zahashowane hasło (załóżmy że md5x1, zaś w bazie jest md5x2)
- IP

Jeżeli dane są prawdziwe, dodatkowo robię regenerację:



"Ma to to ręce i nogi?"

Po co w sesji trzymać hasło? Na dodatek hashować je drugi raz przy wprowadzaniu do bazy? Tak się nie robi, podwójne hashowanie jest złe.

To co lepiej? 1x hash + sól?
No a z tym trzymaniem w sesji to... no rzeczywiście nieco niepotrzebne...

ja robie tak

wysylam post'em login i haslo

filtruje dane wejsciowe, lacze sie z baza , robie selecta z users jesli zwraca jeden wynik to robie

session zalogowany = 1
do tego jakis hash = ilestam

i potem na kazdej podstronie na gorze robisz

if session zalogowany != 1 || hash!=ilestam

header redirect form.php

exit;

W sesji trzyma się np. id usera. Nie rozumiem po co wam jakieś hashe, albo co gorsza hasła (chociaż i tak nikt do tego dostępu mieć nie będzie).