I kakor har du sånt du inte är rädd om t.ex. vilket tema användaren har valt eller andra inställningar som inte är så känsliga. Användare kan styra och ställa hur mycket de vill i kakor. Sessioner ska du använda när användaren logga in. Dessa är krypterade och är svåra att ändra på. Vill du ha ett "Håll mig inloggad"-alternativ så ska du fortfarande använda sessioner för att hålla i vilken användare man är inloggad med. Förutom det så ska du skapa två kakor med användar-ID:t + en hashad version av användarens lösenord.
Om då användaren kommer till inloggningsskärmen + ingen session finns men kaka med info finns, kolla upp om användar-ID:t och lösenords-hashen stämmer med databasen, ifall det är så, logga in användaren.
EDIT: Såg en post på PHPportalen som förklarade detta jättebra
