Você deveria armazenar o horário da última ação/navegação do usuário e o IP.
Assim você poderia verificar com o tempo que sua sessão permanece viva e permitir somente o acesso de quem esta logado naquele momento e ainda informar caso exista uma tentativa de login em outro local, que o usuário já está conectado em outro computador e fornecer até mesmo o IP.
Exemplo, se sua sessão fica viva por 30 minutos, quando o usuário entrar no sistema, ou navegar entre as páginas, fizer alguma ação, você salva o horário no banco de dados e o IP.
| Horario | Endereco de IP |
|------------------|------------------------|
| 2014-11-07 08:20 | 200.100.50.10 |
Quando for feito o login ou a mudança de página ou qualquer ação no sistema, você atualiza esses dados, sempre obedecendo o tempo de expiração da sessão.
Se IP do novo acesso = IP do último acesso, o acesso deve ser permitido, pois é o mesmo. Pega o novo horário e atualiza:
| Horario | Endereco de IP |
|------------------|------------------------|
| 2014-11-07 08:40 | 200.100.50.10 |
Se for IP do novo acesso diferente do IP do último acesso, então verifica os horários: horário do novo acesso deve ser maior que o horário do último acesso + tempo da vida da sessão.
Ex.:
Novo Acesso Ultimo Acesso Tempo Vida Sessao
2014-11-07 08:55 2014-11-07 08:40 + 30
2014-11-07 08:55 2014-11-07 09:10
como 08:55 é anterior a 09:10 (considerando as datas claro) significa que tem outra sessão ativa e o usuário não pode fazer nenhuma ação, incluindo login.
Vamos supor agora que ele tentou fazer o acesso as 09:15
Novo Acesso Ultimo Acesso Tempo Vida Sessao
2014-11-07 09:15 2014-11-07 08:40 + 30
2014-11-07 09:15 2014-11-07 09:10
O novo acesso foi feito depois da expiração da sessão ativa do outro usuário então ele pode logar/fazer ações e o banco é atualizado.
| Horario | Endereco de IP |
|------------------|------------------------|
| 2014-11-07 09:15 | 100.200.50.40 |
Quando o usuário efetuar o logout, esses campos seriam setados pra null
ou, melhor do que isso para facilitar a comparação, para valores default onde fosse possível o acesso.
Ex. no caso de logout:
| Horario | Endereco de IP |
|------------------|------------------------|
| null | null |
Com valores default (facilitando a comparação em qualquer situação, evitando exceptions na programação):
| Horario | Endereco de IP |
|------------------|------------------------|
| 2000-01-01 00:00 | 0.0.0.0 |
No caso do usuário logado perder a conexão e seu IP ser modificado ele perde o acesso e só consegue acessar novamente quando a sessão dele expirar, ou seja, no meu exemplo, 30 minutos. Para isso, o ideal é avaliar o tempo de sessão que será utilizado, fazendo um equilíbrio entre o tempo que o usuário precisa ter entre uma ação e outra até a sessão expirar e o tempo que o usuário pode esperar caso isso aconteça (mudança do IP e ter necessidade de aguardar a sessão expirar). Acredita-se que sessões curtas são mais seguras. Pode-se aplicar 5 ou 10 minutos para encurtar esse tempo e evitar que o usuário permanece logado caso saia e não efetue o logout.
Pode-se também, para evitar isso, utilizar uma chave gerada na etapa de login e armazena-la em cookie, substituindo a identificação do IP pela chave gerada, contornando assim essa parte do IP. Lembrando que cookies são editáveis, com algumas manobras seria possível acessar de mais de um local. Prefiro a abordagem usando o IP.
Essa é uma das formas de se fazer, das diversas formas possíveis de implementação.