брат, даже твой вариант особо не обезопасит.. т.к. есть прокси... любого города) если нужна безопасность аккаунта, то только двухфакторка.. большей безопасности не даст ничего)

Ну как бы это не вариант, если у тебя к примеру форум. Не будешь же ты постоянно запрашивать авторетизироватся. Правильно?
Все зависит от задачи, какая стоит задача перед тобой. Ели это форум, соцсеть и так далее, в которой постоянно требуется авторетизация, зачем она нужна?

да это понятно, я в целом о безопасности аккаунта, надежнее двухфакторки нет ничего)

Банги, Хорошо, представим что я пытаюсь угнать у тебя аккаунт. Знаю где ты находишься, взял прокси твоего города. Каковы шансы, что совпадет таже версия браузера и мне не запросят ввести кодовое слово? А при не удачной попытке, я бы к примеру отправил электроне письмо, что мол вот кто то пытается зайти в Ваш аккаунт.

так если куки украдены к примеру стиллером, то он все передаст, и юзер агент и все-все, что только можно)

Ну это уже совсем другой разговор и отдельная тема.

да господи, что тебе мешает это сделать на фреймворке или CMS? Занимаешься бесполезной фигней))

Эмм.. а как сессия обезопасит аккаунт то? если ID сессии пишется в куки? а еще в куках у него данные для генерации других сессий) в чем смысл то? Не проще использовать уже access_token и refresh_token (если нужно)

А я то тут при чем это автор утверждает что сохранить хеш из сессии в БД и проверять его с текущей (при надобности обновить в БД), то это безопасно.
Я как бы написал что это бред и не как не повлияет на безопасность.

я не обвиняю тебя =)