Кража сессии (защита)

Добрый день пишу простой сайт. Пытаюсь избавиться от того что под одним логином и паролем могли сидеть 2 человека одновременно. Прочитал что можно избавиться если создать ключ, записать в бд и каждый раз сравнивать. (как бы проблем нет) Где-то написано что при каждом действие лучше менять, тоже нет проблем. Но вот вопрос если я зашел под учетную запись и не делаю никаких действий. У меня подсмотрели к примеру сессию и подставили в у себя. Как бы все снова два пользователя.

Какой способ защиты можно придумать от такой ситуации?

У меня в голове только следующий велосипед: При посещение страницы если неавторизован к примеру создаю рандомное сочетание и пишу в бд. Далее при авторизации вытаскиваю данный ключ и создаю еще один, обЪединяю их и в хеш. Его пишу в БД и в сессию. и дальше проверяю при каждом действие. Если кто то подсмотрел все такие сессию и заходит на сайт и вставляет себе то он не авторизовывается также форма авторизации.