(a+b)*c
Но в любом случае, если куки украдут, то пройдут авторизацию.Далеко как не факт: всё зависит от алгоритма авторизации.
Там нужно хранить либо логин с паролем
a|b !c "a|b !c d" a"b
a|b !c d
- это один токен: чёткая фраза!a"b
- это ещё один токен: просто обычное слово. $_SESSION['logged_user'] = $user;