password_hash w $_SESSION, security Opcje

[trzczy]

Chodzi mi o przybliżenie tematu security w przypadku danych przechowywanych w $_SESSION.

Otóż spotkałem się z teorią, że warto dokonywać uwierzytelnienia użytkownika (authentication) przy każdym wchodzeniu na każdą podstronę serwisu internetowego. Wtedy niebezpieczeństwo włamania się przez osoby 3-cie maleje.

Rozumiem to tak, że przechowujemy w sesji login i password_hash użytkownika i za każdy wejściem na podstronę go uwierzytelniamy, czyli weryfikujemy password_hash z bazą danych.

I moje pytanie, czy przechowywanie password_hash w $_SESSION nie jest niebezpieczne?

Czytałem, że przechowywanie plain text password, czyli normalnie hasła, w $_SESSION jest zdecydowanie niebezpieczne. Ale czy password_hash nie jest przypadkiem równie wystarczającą daną do wejścia na czyjeś konto i co za tym idzie - wymagającą unicestwienia zaraz po wykorzystaniu?

[trzczy]

Właśnie też mi coś w tym nie grało. Wziąłem to z jakiegoś starego wątku na forumweb.pl sprzed 8 lat, może więc wiekowość tłumaczy takie teorie.

http://www.forumweb.pl/tematy-ogolne/jak-c...15#post248351_0

Aczkolwiek na SO też są takie wypowiedzi, że plain text password never!!! w sesji, ale w domyśle autorzy wypowiedzi jakoś wskazują, że zhaszowany to tak.