PHP安全会话登录-最佳实践

作为我的web应用程序的一部分。这是我正在考虑的一些代码(我不是最好的PHP程序员，但我为一个项目编程我自己的应用程序):

// Start session
session_start();
// Is the user already logged in?
if (isset($_SESSION['username'])) {
    header('Location: members-only-page.php');
}

我想知道，如果我的登录结构是这样的，这是安全的。

• http://site.com/
• https://site.com/login.php
• https://site.com/login-action.php (MySQL登录检查，md5密码检查)
• http://site.com/cp/members-only-page.php

我正在使用MD5();但我对脚本使用的整个$_session["user"]="1"方法并不完全满意;像vBulletin这样的网站肯定不会这么做吧?

感谢您的回复。我甚至还没有涉及到Ajax的概念!

UPDATE -我的方法的伪代码。

// vars
login string post
password string post
// validation aside from ajax now
login string is empty
redirect to login form with error
password string is empty
redirect to login form with error
// mysql
escape strings
clean html strings
mysql connect external mysql server
if login string is user
    if password md5 match with database md5
        session logged in
    else
        session failed password invalid
        redirect to login form user/pass error
    end if
else
    session failed username invalid
    redirect to login form user/pass error
end if
if file called direct
    redirect 404
    alert_admin function type hacking attempt login page
end if