Что лучше использовать для аутентификации: сессии или куки?
Авторизацию я как-то не изучал, но что-то не вижу никакой логической разницы между сессиями и куками.
Во-первых, сессии разве бывают без куков?
Во-вторых, если куки (допустим, в куках хранится токен - для примера) хранятся ТОЛЬКО на клиенте, то как сервак будет проверять, верный ли ему токен сует клиент, и от какого вообще аккаунта (юзера) этот токен? Значит, опять же токен и на серваке храниться должен, либо в БД, либо в файлах, возможно с примением редиса...
Короче, по-моему, сессии - это лишь частный случай решения на базе куков.
UPD: да и сам вопрос "что лучше" изначально абсурдный. Вроде очевидно, что раз есть 2 инструмента для одной и той же задачи, значит, один лучше для одних случаев, другой - для других. И без уточнения задачи ответить "что лучше" нельзя.
Да, много читал о том, что сессии безопаснее, т.к. куки хранятся в открытом виде, но при должной реализации кук прорех быть не должно. Сессии же привлекают отсутствием в браузере записей (в отличие от печенек) и отталкивают наличием этих же записей на сервере (это как плюс, так и минус, как и с cookies).
Завязывайте с наркотиками. Как по-вашему id сессии передается при отключенных куках?