ma infatti puoi fare come dici... cmq potresti gestire solo un "id" dell'utente, magari:
1 - crei un oggetto vuoto
2 - se c'è un id nella sessione usi questo e vai al punto 5
3 - altrimenti fai fare il login
4 - se il login è corretto setti l'id nella sessione
5 - popoli l'oggetto in base all'id