В таблице users делаем два поля - количество попыток и время последней попытки. При неправильном вводе заполняем эти поля. При вводе 10 раз больше не проверяем пароль, а проверяем время, если 10 минут прошло - очищаем поля и проверяем пароль, если 10 минут не прошло - выдаем что временно заблокирован и может восстановить пароль через эмейл.
Ну а если банить не хотите - подключайте капчу после 3 попыток.
Ну и конечно всё логировать и смотреть их.
И правильно. Вам нужно пойти в 1 класс учится, что-бы узнать что числа 0001 не существует. Потом, когда окончите школу, можно почитать информацию о типах данных и узнать что такое целые числа, что такое строки.
Интерпретатор php переводит строку 0001 в число и получается целое число 1, далее прибавляет единицу и получается 2
Если файл целиков php и не нужно закрывать, то вначале использую явную конструкцию один раз в файле.
Если это какой-то шаблон, где часто нужно закрывать-открывать, то использую короткую версию
Для начала оба преобразовать в массивы.
Потом в одном нужно заменить ключи на ключ из поля id
Потом второй прогнать через форыч и добавить в него поля из первого по ключу