disillusion

Работать, работать и ещё раз работать.
Попробуйте начать с одеска.
pumainthailand.com/otvechayu-na-voprosy-o-rabote-n...

Не благодарите.

А какая разница вообще ajax сайт или нет. Фреймворк и правда можно взять любой, раз вы не ставите никаких требований к инструменту.

Зачем вам такое? Оно выглядит ужасно.
А сделать проще всего будет, как мне кажется, с помощью анимаций CSS и небольшого скрипта js, который задаёт им случайные значения.

На jQuery сделать, конечно, можно. На нём много чего можно сделать.
Но движок анимаций в jQuery оставляет желать лучшего, тогда неплохо бы использовать ещё velocity.js. Или, как я написал выше, анимации CSS.

Фреймворк для Ajax сайта?

Любой. Если сайт простенький - Silex. Если сложная бизнес логика - Symfony2 или Laravel.

Пройдите здесь все задания. Их не много, но многие аспекты верстки были затронуты . Затем отправляйтесь сюда, ищите псдшники сайтов и верстайте их . По мере верстки настоящего, сложного макета используйте это или сразу это, так вы найдете/получите нужные вам ответы на вопросы и набьете руку в верстке.

Отличный канал https://www.youtube.com/channel/UCdnFX7mzgup9moXG2...

Поддерживаю , правда вернее ссылка www.youtube.com/user/ArtSorax/playlists
Но у Sorax только Front-End.
По PHP рекомендую rutracker.org/forum/viewtopic.php?t=2828019
Хочу подчеркнуть что в этих видеоуроках в основном разбираются основы.

Элементарные PDO prepared statements + var_filter обеспечат вам практически максимальный уровень безопасности. Для одной только регистрации пользователя тянуть целый фреймворк - бред полный.

К тому-же не исключено, что могут быть дыры и в самом фреймворке, только вот об этом кроме вас узнают еще, как минимум, все остальные пользователи этого же фреймворка..

Своя система регистрации в этом случае куда более безопасна.

Да, это безопасно, так как

Сессия это хеш который хранится в куках у пользователя, при обращение пользователя к скрипту, пхп сверяет хеш и берет из файла данные этой сессии.

Но, советую проверять IP пользователя, дабы хоть немного защититься от подмены сессий.
И да, session_regenerate_id(); совсем не нужно.

session_start();
$ip = $_SESSION['userIP'];

if (!$ip) {
    $_SESSION['userIP'] = $_SERVER['REMOTE_ADDR'];
} elseif ($ip != $_SERVER['REMOTE_ADDR']) {
    session_destroy();
    session_start();
}

Вот кое что нашел, возможно пригодится:
habrahabr.ru/blogs/php/13726/
php.ru/forum/viewtopic.php?t=15658

Все что угодно можно подменить. Советую не быть крайне параноиком в этом плане.
Товарищи выше дают крайне полезный совет. Браузер + IP. В другом браузере все равно заново логиниться, а чтобы проще это распознавать, то используйте хэш. md5([browser].[IP])