В PHP значения сеанса хранятся на сервере. Сеансы PHP хранят только cookie-файл идентификатора в системе пользователя, который используется для ссылки на файл сеанса на сервере. Таким образом, пользователь не имеет доступа к содержимому файла сеанса, что обеспечивает безопасную альтернативу файлам cookie.
Сессии PHP также работают, когда пользователь отключил куки браузера
служба поддержки. В этой ситуации он включает информацию об идентификаторе сеанса в URL веб-страницы.
Вы также можете найти другие концепции на сайте руководства PHP .
Еще одно очень хорошее знание о сеансе дано в этом файле PDF , в котором рассказывается об уязвимости фиксации сеанса в веб-приложениях.
Надеюсь, это поможет.