авторизация нескольких входов одновременно

[etc]

И под каким конкретно логином находится юзер? Две сессии на одного юзера?

[Skubent]

При успешной авторизации добавляем в сессию идентификатор, который придется цеплять к каждому запросу.
Угу, от кук ничем принципиально не отличается, согласен, умолк и отполз отсыпаться

[Chas]

2Skubent: ну на самом деле так и придется сделать, ибо в сессии хранится много параметров юзеров, которые лениво узнавать из базы заново при каждом открытии/обновлении страницы. т.е. всяческие $_SESSION[users][$hash]["name"], $_SESSION[users][$hash]["params"] и т.д.
но к запросу хеш придется все равно цеплять, это да.
2__etc:
а зачем собственно хранить в куках подпись(хэш) пароля? у меня при заходе на любую страницу проверяется зарегился ли юзер или нет по флагу $_SESSION[logged]==1 (ну, такая проверка была до начала переделки под многоюзеров). это ничем принципиально не отличается от сверки с хэшем пароля при каждом запросе в закрытую область. если хакер украдет куки зарегившегося пользователся, то он и в случае проверки хэша пароля и в случае моей проверки он сможет выполнять дейсвия чужого юзера. тогда уж лучше проверка не изменился ли ip юзера во время сессии.

[etc]

Секьюрности много не бывает.