password_hash w $_SESSION, security Opcje

[trzczy]

Chodzi mi o przybliżenie tematu security w przypadku danych przechowywanych w $_SESSION.

Otóż spotkałem się z teorią, że warto dokonywać uwierzytelnienia użytkownika (authentication) przy każdym wchodzeniu na każdą podstronę serwisu internetowego. Wtedy niebezpieczeństwo włamania się przez osoby 3-cie maleje.

Rozumiem to tak, że przechowujemy w sesji login i password_hash użytkownika i za każdy wejściem na podstronę go uwierzytelniamy, czyli weryfikujemy password_hash z bazą danych.

I moje pytanie, czy przechowywanie password_hash w $_SESSION nie jest niebezpieczne?

Czytałem, że przechowywanie plain text password, czyli normalnie hasła, w $_SESSION jest zdecydowanie niebezpieczne. Ale czy password_hash nie jest przypadkiem równie wystarczającą daną do wejścia na czyjeś konto i co za tym idzie - wymagającą unicestwienia zaraz po wykorzystaniu?

[kapslokk]

Sesja jest trzymana na serwerze, więc to co w niej trzymasz tak naprawdę jest niewidoczne dla usera.