Autologin finde ich zwar ziemlich ...mistig, aber egal.
phpB z.B. speichert den md5-Hash des Passworts im cookie.
Wird mit der Anfrage ein entsprechender Keks gesendet, überprüft phpBB direkt diesen Wert mit dem in der DB hinterlegten. -Deshalb ist es auch kein kleines Problem, wenn bei phpBB eine sql-injection herauskommt, mit der man die md5-hashes auslesen kann-