Методы противодействия угону сессии

Совершенно очевидно, что большинство из нас, программистов PHP, не хотят, чтобы наша опубликованная работа была взломана или использована способами, которые мы не намеревались. Поэтому я особенно осторожен, когда спрашиваю о способах противодействия угону сессии. Я знаю, что есть функция session_regenerate_id (), чтобы частично противостоять перехвату сеансов, но мне было более любопытно другой метод, с которым я столкнулся:

Когда пользователь входит в систему на веб-сайте, вы берете его user_id (или другую, еще более секретную, предварительно заданную зашифрованную строку) (которая неизвестна для обычных пользователей) как строку, и вы солите ее случайными предопределенными символами, md5 (), строку и устанавливаете это как $ _SESSION [‘user_code’] = $ that_string; и каждый раз, когда этот пользователь переходит на страницу, которую вы солите, повторите процедуру и сопоставьте ее с $ _SESSION [‘user_code’], если они не совпадают; уничтожить сессию.

Так что в коде это будет выглядеть примерно так (например):

 //user credentials are correct, user data is fetched from db

$_SESSION['username'] = $row[3]; //username
$_SESSION['password'] = $row[2]; //password
$_SESSION['user_id'] = $row[4]; //user_id
$salt1 = 'uNs819';
$salt2 = 'J2i';
$user_code = $salt1 . $row[4] . $salt2;
$user_code = md5($user_code);
$_SESSION['user_code'] = $user_code;

И затем вы проверяете, правильно ли это в начале каждой доступной страницы с помощью:

//fetch user credentials from db again
//$row4 is the user_id
if($_SESSION['user_code'] != md5($salt1 . $row[4] . $salt2){
session_destroy();
}

Я не думаю, что использование user_id как части шифрования является оптимальным, но это только пример. Предпочтительно я буду использовать строку md5 отметки времени, когда был создан пользователь. Но если мне было непонятно, мой главный вопрос в том, является ли этот метод устойчивым к угону сессии, почему / почему нет?