Php авторизация пользователя. Что есть best practices?

Вам нужно использовать сессии. Вместо того чтобы каждый раз присылать login, и pass - пусть лучше клиент шлет token сессии. Если использовать нативную реализацию сессии - то id сессии присылается в cookie. Можно использовать самописный механизм, в таком случае клиенту всегда нужно будет слать token.
По-сути всё это практически то же самое что и в каждом запросе присылать логин/пароль. Но мне в своей практике не доводилось встречать реализацию с отсылкой логина и пароля при каждом запросе. Поэтому смею предположить что никто так не делает :) Используйте токен, и тогда клиентам не придется светить логин/пароль при каждом запросе :)