🚀 go-pugleaf

Belangrijke vraag:

ik wil een absoluut safe (zo goed mogelijk althans) site bouwen. over de
server moet ik me geen zorgen maken (f2s.com), maar wel over de scripts.

Bedoeling is dat iemand inlogt en toegang krijgt tot vitale info, die kan
wijzigen etc. men moet ook kunnen uitloggen.
Probleem dat zich stelt is: hoe pak ik het aan? (php3)

* session id maken, opslaan in cookie. session id wordt gemaakt na
verificatie van username & pass in db. op basis van md5 gewoon random
genereren?
Probleem: kan niet iemand gewoon zelf een cookie maken en doen alsof men
ingelogd is? verzin een id (eventueel afleiden door zelf een randomfunctie
te laten runnen, exp  date etc en hop, je bent binnen???

* inloggen, username & pass in cookie opslaan. telkens bij elke pagina die
twee waarden terug vergelijken tegen de db? Zou kunnen, je moet al de
username & pass kennen. cookies worden echter vrij verstuurd, iedereen die
bv op een computer kan, kan die copieren en dus ook inloggen op de server
onder iemand anders naam? Ook als ze eerst ge-encrypteerd worden via md5
(genereert dat ding altijd dezelfde waarde van een bepaalde string?, maw, is
md5("nightowl") altijd gelijk?)
kan men nog gewoon het cookie copieren...

* inloggen, cookie met var session id zetten, datzelfde opslaan in db met
timestamp, checken of het nog geen xxx min geleden is? Als het te lang
geleden gemaakt is, of niet bestaat, niet toelaten?

de laatste oplossing lijkt me meest valabel, maar zijn er geen andere/betere
manieren?

Thx for your time!