$res  = md5(пароль);
$res .= $_SERVER['REMOTE_ADDR'];
$avt  = md5($res);
$user_session = session_id();

Записать в таблицу ($avt, $user_session);
Записать в куки($avt);

Принцип такой.
Но у меня сессии в БД. Пароль хранится в таблице паролей, а для авторизации таблица сессий.

_____________
Бесплатному сыру в дырки не заглядывают...

на один айпи не стоит уповать, у нас район города на одном айпи сидит.
нужно ещё к чему нить привязаться.

_____________
HTML, CSS (Bootstrap), JS(JQuery, ExtJS), PHP, MySQL, MSSql, Posgres, (TSql, BI OLAP, MDX), Mongo, Git, SVN, CodeIgnater, Symfony, Yii 2, JiRA, Redmine, Bitbucket, Composer, Rabbit MQ, Amazon (SQS, S3, Transcribe), Docker

Мысли вслух. Для начала нужно отсечь перебор аккаунтов с помощью одного пароля, для этого вешаем на конкретный IP количество неудачных попыток входа. В связи с тем, что IP можно изменить, аналогичное нужно сделать и на перебор паролей под конкретный аккаунт, делаем количество неудачных попыток входа под конкретный аккаунт.

Что касается самой авторизации, как выше отметил Игорь, IP доверять нельзя, у многих он динамический (вводить пароль 10 раз ) или на одном IP может сидеть небольшой посёлок.

Из всего этого у нас имеется блокировка на тупой перебор ) Дальше печеньку или сессию, многие предлагают последнее, так и поступим )) Хотя нагрузка на сервер, ну да ладно. Что туда запишем? Ваши предложения )

_____________
Принимаю заказы, писать в ЛС

В сессию записать:

Пользователь в таблице авторизации (id при каждой авторизации) + user agent?

Если произойдёт подмена, то скидываем?

_____________
Принимаю заказы, писать в ЛС

Буду знать ) А как с пауками поисковиков? И что касается второго пункта?

В случае верной пары, логин и пароль, записать в таблицу авторизации id пользователя.
В сессию записать id авторизации + user agent.

_____________
Принимаю заказы, писать в ЛС

if ( preg_match( '/(YandexBlogs|googlebot|google-proxy|slurp@inktomi|ask jeeves|lycos|whatuseek|ia_archiver|aport|yandexbot|stackrambler|yahoo|msnbot|webalta|Mail.Ru|bingbot| mj12bot|exabot|baiduspider|hosttracker|AhrefsBot|SputnikBot|BLEXBot)/i', $s_user_agent, $match ) )