Механизм сессий использует куки для хранения sessionid, и все. Разница банальна - куки на клиенте, сессия на сервере, следствия логичны - куки места на сервере не занимют, сессии недоступны для прямого чтения и изменения юзером. То есть в сессии вполне можно хранить пароль в открытом виде, например, хотя и не рекомендуется на всякий случай. Также размер куков ограничен, а в сессии вполне можно хранить довольно большие объемы данных, объекты и прочее.
Еще - сессия работает до закрытия браузера или до истечения серверного таймаута на хранение, куки можно поставить хоть на 10 лет. То есть, куки надо использовать для более долгих сроков (галка "запомнить меня", например).
UPD:(запомнить) Условие: в БД хранится md5-хэш от пароля, так много где сделано
$auth = $USER = false;
$hash = '';
// сначала пробуем слепить хэш из запроса
if (!empty($_POST['login']) && !empty($_POST['password']))
$hash = md5($_POST['login'].'###'.md5($_POST['password']));
// потом из сессии
if (!$hash && !empty($_SESSION['authhash']))
$hash = $_SESSION['authhash'];
// потом из куки
if (!$hash && !empty($_COOKIE['authhash']))
$hash = $_COOKIE['authhash'];
// если хоть где-то хэш заполнен, пробуем авторизоваться
if ($hash) {
$quser = mysql_query('SELECT * FROM `user` WHERE MD5(CONCAT(`username`, "###", `password`))="'.musql_real_escape_string($hash).'" LIMIT 1;');
if ($USER = mysql_fetch_object($quser)) {
$auth = true;
$_SESSION['authhash'] = $hash;
}
if ($auth && !empty($_POST['remember']))
setcookie('authhash', $hash, time()+60*60*24*7); // ставим куку на неделю
}
// здесь нам доступны $auth и $USER
Примерно так. Могут быть ошибки, но суть вроде передал.