Login Verfahren

[Lukas aus dem WWW]

Hallo Forum,
ich entwickle gerade was für unseren Kunden, dabei muss ich ein Login-Bereich einrichten.

Um gleich alles richtig zumachen, wollte ich euch mein kleines und vereinfachtes Konzept vorstellen.

1. User gibt Namen und PW auf Seite Login.html ein, via POST wird alles an die Check_Login.php übermittelt.

2. Check_Login.php verbindet sich mit der DB (MySQL).
   2a) Name wird verglichen
       - Name wird nicht gefunden? Zurück + Fehlermeldung!
       PW wird verglichen
       - PW ist falsch? Zurück + Fehlermeldung

3. Name UND PW korrekt?
      ~~~php

• session_start();
     - $_SESSION['sesid'] = md5(session_id());

   - Weiterleitung zur der Zielseite  
  
============================================================================  
  
Auf jeder Seite auf der nur die User zugriff haben sollen, würde ich folgendes abfragen:  
  
~~~php
if($_SESSION['sesid'] && $_SESSION['sesid'] == md5(session_id())) ALLES_OK();  
else FEHLER();

Ist an dieser Logik was Fehlerhaft/Bedenklich?
Wo und wie müsste ich die DB-Zugangsdaten auslagern um sie sicher zu "versteken"?