Loginsystem og sikkerhed

Du bør escape $_POST['username'], f.eks. med mysql_real_escape_string()
Ligeledes bør du smide en LIMIT 1 på, som her:
$query = mysql_query("SELECT * FROM users WHERE username='$username' AND password='$password' LIMIT 1");

En anden ting jeg godt kan lide at smide med i session, er ip, som f.eks.:

$_SESSION['loginip'] = $_SERVER['REMOTE_ADDR'];
Og samtidig med at tjekke om session er ok, også tjekker om IP er = $_SERVER['REMOTE_ADDR'], hvilket jeg vil mene er ekstra sikkerhed mod session hijacking.

Okay jeg har nu brugt mysql_real_escape_string() på både kodeord og brugerbavb, tilføjet en limit på 1.
Desuden gemmer den også ip i sessionen. Jeg har også lavet det således at den gemmer en cookie med det krypterede kodeord:

<?php
include("connect.php");
include("config.php");
$username = mysql_real_escape_string($_POST[username]);
$getpassword = mysql_real_escape_string($_POST[password]);
$password = md5($zzzzzzzz.$getpassword);

//IP
function getRealIpAddr()
{
    if (!empty($_SERVER['HTTP_CLIENT_IP']))  //check ip from share internet
    {
      $ip=$_SERVER['HTTP_CLIENT_IP'];
    }
    elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR']))  //to check ip is pass from proxy
    {
      $ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
    }
    else
    {
      $ip=$_SERVER['REMOTE_ADDR'];
    }
    return $ip;
}

//The login and session procedure
if ($username != "" or $getpassword != "")
{
$query = mysql_query("SELECT * FROM users WHERE username='$username' AND password='$password' LIMIT 1");

if ($row = mysql_fetch_assoc($query))
{
  session_start();
  setcookie($auth_cookie_name , $password);
  $_SESSION['loginname'] = $row['username'];
  $_SESSION['loginfirst'] = $row['firstname'];
  $_SESSION['loginlast'] = $row['lastname'];
  $_SESSION['pwd'] = $row['password'];
  $_SESSION['id'] = $row['id'];
  $_SESSION['ip'] = getRealIpAddr();
  echo "Du er nu logget ind som ";
  echo $_SESSION['loginname'];
}
else
{
  echo "Brugernavn eller kodeord er forkert.";
}
}
else
{
  echo "Nogle felter er ikke udfyldt";
}
?>

Og så har jeg lavet en session.php som skal inkluderes på alle sider:
<?php
include("config.php");
session_start();

//IP
function getRealIpAddr()
{
    if (!empty($_SERVER['HTTP_CLIENT_IP']))  //check ip from share internet
    {
      $ip=$_SERVER['HTTP_CLIENT_IP'];
    }
    elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR']))  //to check ip is pass from proxy
    {
      $ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
    }
    else
    {
      $ip=$_SERVER['REMOTE_ADDR'];
    }
    return $ip;
}

//Checks for empty session
if (empty($_SESSION['loginname']))
{
  echo '<form name="login" method="post" action="page.php">';
  echo '<p>Brugernavn: <input type="text" name="username"><br>';
  echo 'Kodeord: <input type="password" name="password"><br><input type="submit" name="login" value="Login"></p>';
  echo '</form>';
}
else
{
echo $_SESSION['loginname']."<br>";
echo $_SESSION['loginfirst']."<br>";
echo $_SESSION['loginlast']."<br>";
echo $_SESSION['id']."<br>";
echo $_SESSION['ip']."<br>";
echo $_SESSION['pwd']."<br>";
echo $_COOKIE[$auth_cookie_name];

//Authentication
  //Check password
  if ($_COOKIE[$auth_cookie_name] == $_SESSION['pwd'])
  {
  }
  else
  {
    session_destroy();
  }

  //Check ip
  if ($_SESSION['ip'] == getRealIpAddr())
  {
  }
  else
  {
    session_destroy();
  }

//Auto log-out
if (empty($_SESSION['logintime']))
{
$logintime = $_SESSION['logintime'] = time();
}

if (time() - $_SESSION['logintime'] > $auto_logout_time)
{
  session_destroy();
}
$logintime = $_SESSION['logintime'] = time();

}
?>

Denne tjekker om ip'en er den samme som der blev logget ind med. Og den tjekker om der findes en cookie med kodeord, som matcher brugerens kodeord.

Hvordan ser det ud rent sikkerhedsmæssigt?