Autoryzacja użytkownika, co lepsze??? Opcje

[Citral]

Witam, mam pytanie do osób, które stworzyły już wiele serwisów, na które użytkownik musi się zalogować. Co jest lepsze - przechowywanie w sesji loginu i hasła użytkownika i sprawdzanie ich poprawności po każdym wejściu na jakąkolwiek stronę serwisu (poprzez połączenie się z bazą) czy może lepiej po poprawnym zalogowaniu użytkownika ustawić jakąś zmienną "logowanie" na 1 i sprawdzanie jej wartości na każdej kolejnej stronie czy użytkownik jest zalogowany?

[[fisher]]

Ale za to trzymasz w sesji dwie zmienne tekstowe (login i hasło) zamiast jednego inta userID. Jeśłi user nie jest zalogowany, userID trzyma 0 lub jakiś inny ID zdefiniowany w bazie dla Gościa. Za każdym razem pytasz bazę czy login i hasło pasują... potem updatujesz tabelę "last-visit".. a tak tylko update ID pobranego z sesji...
Jakoś trzymanie hasła i loginu niezbyt mi się podoba.

ok, czesciowo to jest racja, ale przypuscmy ze pracujesz nad projektem i otwierasz zrodla.
kazdy widzi jak sie nazywa zmienna sesyjna (moze zajrzec w zrodla)
napewno trafi sie hosting ktory bedzie obslugiwal nasz system (powiedzmy CMS) i bedzie mial wlaczone globale ? (mozna sobie przypomniec nazwe zmiennej i nadpisac sesje)

tylko co do tego mam zastrzezenia, w reszcie sie zgadzam

Ps. Reasumujac: Upublicznienie kodow zrodlowych spowoduje wyciek danych z systemu - Podsekretarz Stanu w Ministerstwie Edukacji Narodowej i Sportu Hanna Kuzińska

To bylo juz dawno temu ale jeszcze mnie smieszy i na dodatek ma zwiazek z biezacym postem ;-D