Uwierzytelnianie i sesje - implementacja

Piszę program obsługujący stronę www, używając FastCGI i AJAX'a. Muszę zrobić system uwierzytelniania i sesji. Wiem, jak to wygląda w teorii, ale nie wiem, jak wygląda implementacja. Gdzie, po stronie serwera, powinny się znajdować dane sesji, jakie algorytmy hashujące i solące? Są jakieś biblioteki, czy muszę sam pisać?

//Wybaczcie, zapomniałem o temacie

Popatrz sobie na implementację silnika PHP. Jeżeli to Ci nie wystarcza to możesz poszukać biblioteki C/C++ do obsługi FastCGI i być może ona będzie posiadała implementację oczekiwanej przez Ciebie funkcjonalności.


Wydaje mi się, że na poniższej stronie są wszystkie niezbędne informacje odnośnie ciasteczek i innych funkcjonalności niezbędnych do zaimplementowania pełnej komunikacji HTTP.
http://www.tutorialspoint.com​/cplusplus​/cpp_web_programming.htm

Co do sesji wymyśliłem jak na razie coś takiego:
1. vector wskaźników na sesje
2. klient podaje numer sesji, który jest indeksem, za pomocą którego wybieram sesję z vectora
3. klient podaje jeszcze kod zabezpieczający, ID użytkownika
4. sprawdzam, czy numer sesji, kod zabezpieczający, ID użytkownika i IP zgadzają się z tymi spod wskaźnika
5. jeżeli wszystko się zgadza, obsługuję zapytanie

To tak w skrócie, numery wygasłych sesji zamierzam wrzucać do deque i wykorzystywać je ponownie przy kolejnych sesjach, żeby zaoszczędzić na pamięci i operacjach przesuwania elementów.

Wydaje mi się że to będzie bezpieczne i znacznie wydajniejsze niż rozwiązania z PHP.

Strona z linku dotyczy CGI pod C/C++, a to już zupełnie inny protokół. Ciasteczkami i tak zajmie się JS, więc to już nie tutaj. Natomiast zostaje jeszcze kwestia hashy i soli. Są dostępne jakieś algorytmy lub biblioteki do nich? I oczywiście jakie algorytmy?

Zdecydowałem się na Scrypt. Wygląda to miło - samo generuje sól, zapisuje wszystko jako jeden ciąg Base64, bardzo bezpieczny. Do wszystkiego wystarczają dwie funkcje.

Zostało mi tylko pytanie, czy ww. system sesji jest bezpieczny i czy prepared statements to wystarczające zabezpieczenie przed SQL injection?

Bezpieczny SQL jest wtedy, gdy zagwarantujesz, że wszelkie przekazywane parametry będą albo rzutowane do wartości liczbowej albo parametr stringowy będzie escape-owany funkcją dostarczoną razem z biblioteką SQL. Poza tym poruszone zagadnienie wykracza poza temat.