Sessioni, cookies e token di autenticazione

[ReAlpha]

Io controllo IP e useragent per evitare che qualcuno possa "rubare" la sessione, è una paranoia mentale. Ma la sicurezza non è mai troppa per cosa costa scrivere 2 linee in più...
Anche il token conviene rigenerarlo di tanto in tanto, sempre per questione di sicurezza. Per l'utente è una operazione "trasparente", nel senso che viene generato dopo un login corretto, memorizzato in database e nei cookie.

E se l'utente, dopo un riavvio del router, si trova con l'IP cambiato, oppure Chrome di nascosto si aggiorna, e cambia dunque l'useragent perché cambia anche il numero della versione inclusa in esso?

[Webmaster76]

E se l'utente, dopo un riavvio del router, si trova con l'IP cambiato, oppure Chrome di nascosto si aggiorna, e cambia dunque l'useragent perché cambia anche il numero della versione inclusa in esso?

Vero, ma il session Hijacking è sempre in agguato e le situazioni che descrivi non sono poi così frequenti... dipende dal livello di sicurezza che vuoi dare, io sulla sicurezza non rinuncerei.

Leggi qui ad esempio:
http://phpsec.org/projects/guide/4.html