Помоему нет. Код дословно представляется мне так - если есть ячейка valid_user, то проверяем наличие записей в session, которые определённо есть. Ну и первую сравниваем с текущей. Как-то так. Главный недостаток здесь в том, что раз сидит несколько человек под одним аккаунтом, значит и сессий несколько. А сверяется лишь первый результат выборки. То есть скорее всего, если 3 пользователя начнут одновременно заходить, их будет "выбрасывать" из приложения в случайном порядке. А лучше первого вошедшего всегда оставлять, а остальным просто запрещать заходить.
Хорошим решением, с моей точки зрения, является вот такой алгоритм. При входе для каждого пользователя создаём сигнатуру из IP и браузера. Например их совместный md5-хеш. Пишем это в таблицу. Когда кто-то входит в приложение, проверяем есть ли в БД данные по его id. Если нет - пусть заходит. Есть - проверяем совпадает ли хеш с тем что у пользователя. Ну и при каждом обращении пользователя к сайту обновляем время активности сессии. Чтоб не было такого что пользователь зашёл с одного браузера, потом от него действий не было 3 часа, зашёл с другого барузера и его не пустило.

Короче: логинится юзверь, записываешь в базу его сессионные данные и время последнего доступа (это время нужно обновлять при каждом переходе юзверя со страницы на страницу). Допустим другой юзверь тоже пытается залогиниться с теми же логином и паролем, что и первый. Проверяешь а есть ли в сессионных данных в базе запись про данного юзверя с адекватным последним временем доступа. Если есть, то отфутболиваешь, если нет или время последнего доступа слишком велико (> времени жизни сессии) то даешь залогиниться.

можно проще но несколько по брутальней.

Даешь пользователю регатся. пишешь его данные в базу если он нажимает выход то запись удаляешь. Если кто пытается войти сверяешь есть ли или нет запись в базе.

Спасибо, благодаря мнениям собрал код. Вот что-то примерное. Правильна логика?

//АВТОРИЗАЦИЯ (проверка на наличие логина и пароля в базе, далее
$sid = session_id();

//добавляем запись и обновляем дату (на всех страницах в начале)
$result1 = mysql_query("select * from sessions where sid='$sid'");
if(mysql_num_rows($result1) > 0){
	mysql_query("update sessions set sdate = NOW() WHERE sid='$sid'");
}else{
	mysql_query("insert into sessions values('$sid','$user_id', NOW())");
}
// проверка(на всех страницах) SID и ID
$result2 = mysql_query("select * from sessions where user_id='$user_id'");
$row = mysql_fetch_array($result2);
if($row['sid']!=$row['user_id']){
	//loginform
	session_destroy();
	exit;
}

waldicom
Об этом лучше сообщать админу сайта, но ни как не пользователю, он может тупо не понять, как в приведенному выше примере.

Админ может посмотреть, разобраться и например отписать юзверю, чтобы он на всякий случай сменил пароль. На то он и админ сайта.

НУ это ты сам смотри, но в твоем примере пользователя тупо выкинет на авторизацию и он нихрена не поймет, что под его аккаунтом кто-то сидит ибо все будет выглядеть так, как-будто кончилось время сессии.

надпись "учетная запись уже используется" это да, не хватает к моему коду это просто. а на счет админов, то опять же кроме как предупредить пользователя, он ничего не сможет сделать больше.

Простой, как варёная картошка, метод. Создаёте в БД дополнительное поле, со значениями 0, если юзер не в онлайне, и 1, если в онлайне.

1) При входе юзера на сайт изменяете значение в БД с 0 на 1.
2) При logout удаляются все сессионные данные, а с ними 1 меняется на 0.
3) При каждом входе делается проверка на параметр 1 или 0. Если 1 - пишем что-то типа "аккаунт уже используется на другом компе". Если 0 - всё в порядке, можно проходить.

Очень просто, но всё будет работать.

ancient mariner
и через сколько времени осуществлять _автоматический_ logout?))

ancient mariner
ну вот смотри: зашел человек в универе под своим ником. а выйти забыл... Теперь:
1) Этим ником может пользоваться кто угодно неограниченно долго.
2) Человек не сможет зайти под своим ником дома (;

автоматический logout после того как время жизни сессии закончилось.

respublika
кэп))