~AL~, В данном конкретном случае - наверно, и правда проще. Но, вообще, я бы сделал дополнительно со переключателем.

Владислав, логично (для большинства), но небезопасно. Причем весьма.

Миледи, нельзя кол-во неудачных попыток авторизации писать в сессию..

Это не функция будет.
1. В таблице с юзером у каждого будет счетчик неудачных авторизаций.
2. По достижении пятой попытки у юзера переключатель access с on переключается на off.
3. Пока свойство access в состоянии off, авторизация отвергается.
4. Если вводится верный access_key, access сбрасывается на on, счетчик неудачных попыток тоже сбрасывается (на 0) и авторизация снова возможна.
Любой кодер такое напишет.