現在自分が作成しているPHPとMySQlを使ったログイン認証システムで
穴がないか不安になってきたので、質問します。
要点のみを記載します。

・ID（又はメールアドレス）とパスワードをフォームに入力して、
　MySQL内の情報を照合
・正しければトークン用のコードを発行し、ユーザ情報を更新
　（テーブルのtokenフィールドに作成した値を追加）
・その他、セッション変数にはログイン時のUAとIPアドレスを代入
・各ページアクセス毎にセッション情報が正しいかをIFで調べる
（会員情報編集などの場合、ユーザIDとトークンコードが正しいか照合）
・パスワードはmd5で保存

と言うことをしています。他に「これもしろ」と言うことはありますでしょうか？