Пароль пользователя надо хранить только в БД, ну или в файле на край.
В сессии это не нужно, нужно только для создании самой сессии (сеанса работы по русски). Т.е. проверил пароль - нормальный, значит создал сессию для этого юзера и впихнул в переменные сессии такие например данные: логин, права, настоящее имя. Ну в общем по желанию... То есть то, что тебе поможет получать данные об авторизованном пользователе. По поводу хранения сессий : можно их хранить как в БД, так и в файлах. Чтобы сильно не заморачиваться по этому поводу посмотри в сторону phpLib, или обратись к Максиму Матюхину - он тут главный специалист по ::PEAR::, там тоже есть удобные инструменты для оперирования такими вещами.

А в переменных сам подумай есть ли смысл хранить: время их жизни == времени выполнения скрипта, и при перехода на другую страницу обнуляются.
В куках во первых хранить небезопасно, а во вторых незачем (читай выше).

И главное - хранить не сам пароль, а его хэш