El login es un sistema sencillo donde participan dos entidades, el servidor que registra y verifica al cliente, que sería la otra entidad. Entonces, lo primero sería que trabajaras la parte servidor, donde se invite al cliente a registrarse indicando este una clave. Para evitar problemas con el spam podrías hacer lo típico que una vez que se envía el formulario de registro al servidor enviar desde este una url de confirmación al correo del cliente. La base de datos es esencial para todo el proceso, incluido el logeo, y si usas el sistema de verificación por correo acuérdate de usar un campo en el registro de la base de datos para comprobarlo (1, verificado, 0 sin verificar). La url de verificación simplemente apuntaría a una página que se encargaría de eso y que debería acompañarse con un token de parámetro generado aleatoriamente que es el que esperaría el servidor de un determinado cliente recien registrado. Como no, dicho token tendría un tiempo de vida limitado con lo que habría que registrar el tiempo cuando fue creado el token y todo eso también se haría por medio de la base de datos.

Una vez tenemos el sistema de registro a punto ya podrías volcarte en el logeo, en el cual simplemente se le pasaría desde el cliente el formulario de logeo por medio de un POST en caso de ser Web usando https o tunelizando con ssh. Luego se comprueba en la base de datos del servidor que exista el usuario tal con la contraseña tal por medio de una sencilla consulta, y de estar registrado se le facilitaría el acceso a las páginas o servicios restringidos a los invitados o usuarios no registrados.