Login med php

Hej udviklere,

jeg har igennem tiden lavet rigtigt mange forskellige login-systemer, og jeg har hver eneste gang forsøgt at lave det bedre og bedre ud fra erfaring fra tidligere systemer.

Til at starte med har jeg ikke problemer med opbevaring af passwords. Jeg har et 128 karakter langt salt til brug sammen med brugeres password hvilket alt sammen bliver hashet lidt frem og tilbage.

Mit spørgsmål er mere til autentificering og verifikation af brugeren ved login. Jeg kører i øjeblikket blot på et test domæne - på den rigtige side vil hele siden køre over HTTPS.

Lige nu logger jeg brugere ind ved at finde deres brugernavn i databasen for derefter at kontrollere om det indtastede password matcher passwordet i databasen. Hvis det matcher, og brugeren kan logged ind, gemmer jeg brugerens session-id samt IP i datbasen til verifikation. Jeg gemmer også brugerens ID, username og en boolean værdi for at kontrollere om brugeren er logget ind eller ej.

Jeg kunne dog godt tænke mig at indføre mulighed for at forblive logget ind, hvilket vil sige jeg skal have fat i nogle cookies. Problemet for mig her er, at jeg ikke lige kan få mit hoved rundt om hvordan jeg kan sikre dette mest muligt. Er det rent faktisk muligt at bruge cookies til at huske en bruger, uden at cookie-stealing bliver et potentielt problem? Det vil naturligvis også skabe nogle komplikationer i min database i forhold til at gemme session-id og IP da brugeren nu kan være logget ind flere steder på en gang (hvilket heller ikke er noget problem).

Kunne godt tænke mig at høre hvad folk har af ideer og forslag til at lave mit login så sikkert som muligt?

På forhånd mange tak