Правильный ли алгоритм авторизации на Session и Cookies?
Если бы это была лошадь, я бы порекомендовал застрелить ее, сэр!
Отправить в запросе куку с именем «Админ» может любой школьник.
>(вот в этом месте, мне кажется, есть какая-то сильная дырка в безопасности)
Одного id мало, паралельно при авторизации нужно генерировать случайную последовательность скажем из 5-6 символов, после чего хешировать, записать хеш в базу и поставить куку с этим хешем.
При смене страницы, проверять id и хеш клиента, с теми что в базе, если совпадают, значит пользователь тот же.