Ну, если объяснять на пальцах, то примерно алгоритм следующий:
человек заходит, система проверяет его сессию: если в ней сохранены данные пользователя и тот факт, что он авторизован, то окей, показываем ему какую-то инфу; если же нет - то к примеру перекидываем на страницу логина. После ввода данных, если они верные, система сохраняет в сессию скажем id пользователя. Впоследствии, при попадании на любую страницу, где требуется авторизация, система видит, что пользователь авторизован, и по его id из базы получает модель и далее использует по назначению.