Как грамотно и безопасно использовать сессии в связке с cookies?
что делать с пользователями, у которых отключены куки?
Ну значит пользователь знает, что делает и не будет удивляться тому, что не может залогиниться.
Привет.
Думаю, вы слишком заморачиваетесь. Обычно используют просто сессии (они тоже куки используют) и все. 
Если нужно что-то хранить на клиенте, то используют куки. Задайте себе вопрос, вам что-то нужно хранить на клиенте? Если нет, то просто используйте сессии.
А по поводу отключенных куки и других вещей. Сейчас это уже стало исключением. Обращайте на это внимание, если задача или клиент того требует. В остальных случаях считайте, что и куки и, к примеру, js включены.