Отчего, собственно..

Два десятка строк в цефегешнике, не более того - сверка ^cookie[] с базой - если прошло успешно, выдаём страницу, неуспешно - на страницу авторизации редиректим. Проблема действительно состоит в том, чтобы после завершения позвать свежего человека, чтобы тот незамыленным взглядом посмотрел на полученное и попытался бы найти прорехи в реализации. А это действительно проблема в большинстве случаев ;-)

Админ действительно лучше закрывать .htaccess'ом - что правда, то правда. Предложенный мной вариант - для интерактивных сайтов - тот тебя "узнаёт", обеспечивает уникальность твоего имени в форуме, shopping cart ведёт.. В общем, много пользователей и не требуется серьёзной защиты. Если делаем сайт под онлайн-банкинг, тут уже идут в дело SSL и другие прелести, спору нет ;-)

только регистрить их не руками из
шелла, а простейшим perl/shell-скриптом, 
который будет дописывать в .htpasswd 
строку с user-name и MD5-шифром пароля.