Ich habe mir angewöhnt, Passwörter mithilfe der MD5()-Funktion von MySQL in die DB zu speichern. Wenn ein Client angibt, das er Cookies akzeptiert, verzichte ich auf SID's und schicke den Benutzernamen und das verschlüsselte Passwort zusammen mit anderen Daten in ein Cookie zum Client.

Quote

unter windows gibt es keine geschützen verzeichnisse!

Unter Windows gibt es auch geschützte Verzeichnisse. Einfach unter Sicherheitseinstellungen die Rechte ändern. Wenn Du Apache als Dienst laufen lässt, kannst Du die Sicherheitseinstellungen so ändern, das nur das System Zugriff auf die Verzeichnisse hat.