言語　：　PHP
「ID・パス入力　→　管理画面ログイン」　の流れの、基本的な考え方について。

いつも下記のような流れのものを作っているんですが、
セキュリティー的に、果たしてこの流れで大丈夫なんだろうか？とちょっと心配に・・
つい最近物騒なニュースもあったので・・

コードを書いていないので伝わり辛いかと思いますが
おおよその流れとして、合ってるかどうか、詳しいかたに見て頂けると此れ幸いであります。


[　index.html　]
ID・パス入力

↓POST

[　login.phpとか　]
１．　[POST]受取/基本的なXSSチェック
２．　ID/PASSが正しいかどうか照合
３．　正しければsessionで鯖側にID/PW記録、cookie発行(ブラウザ閉じるとcookieあぼん型)

↓ID/PW正しければ普通にheaderリダイレクト

[　main.phpとか　]
管理画面内部に到着
(管理画面内は全てのページでsessionの存在確認と、ID/PWが正しいかをチェック)


番外編
[logout.phpとか]
session破棄しておわり。index.htmlリダイレクト