has

нет смысла каждый раз проверять куки, если можно 1 раз их проверить в начале скрипта, а потом уже работать с сессией

откуда ж мы знаем, что это - весь код. Я предполагал, что этот код инклюдится после проверки кук и установки user_id вв сессию

has, заипал. Я те написал алгорим как надо действовать тебе.

Если запоминем, то в куки записываем логин и хеш пароля. И в сессию айди. Сначала проверяем айди в сессии. А если айд нет, то смотрим и проверяйем логин пароль в куках. А если они не сходятся и там ничего нет, то тогда уже не авторизван.

А не нужно проверять в кукках записаны логин/пароль или нет?

<?php 
 
session_start(); 
 
if (isset($_SESSION['user_id']))
{
    // показываем защищенные от гостей данные.
    
    print '<h1>Здрасте!</h1>
    <p>Это закрытая страница.</p>
    <p><a href="index.php">Перейти на главную</a></p>';
}
else
{
    die('Доступ закрыт, даём ссылку на авторизацию. — <a href="login.php">Авторизоваться</a>');
} 
 

?>

Доступ закрыт, даём ссылку на авторизацию. — Авторизоваться

Сессии не постоянны и данные в них хранятся только на время работы пользователя со скриптом. Поэтому, чтобы пользователь оставался залогиненым после того, как он закрыл и снова открыл на нашей странице свой браузер — необходимо сохранять его авторизационные данные в куках (они хранятся на его компьютере в браузере).
Мы будем записывать в куки пользователя его логин и хеш пароля. (как записывать что-то в куки, читайте выше по ссылке)

<?php

session_start();

if (isset($_SESSION['user_id']))
{
	// показываем защищенные от гостей данные.
	
	print '<h1>Здрасте!</h1>
	<p>Это закрытая страница.</p>
	<p><a href="index.php">Перейти на главную</a></p>';
}
else
{
	die('Доступ закрыт, даём ссылку на авторизацию. — <a href="login.php">Авторизоваться</a>');
}


?>