Насколько правильными являются следующие подходы?
1. Норм. Для полного счастья можно генерить новую куку при каждой авторизации.
Что бы их не своровали - https
2. Не надо заниматься преждевременной оптимизацией.
Сотни тысяч пользователей Одновременно - это проект с сотнями серверов
Сервер выносливые, ну не до таких, может, цифр как в вопросе, но... есть еще всякие memcache, apc, redis, таблицы в базе memory.