クッキーはブラウザに保存され、各リクエストとともに送信される小さなデータです。セッションはサーバーにデータを保存し、セッションIDのクッキーで識別されます。この2つが組み合わさることで、ステートレスなHTTPプロトコルをまたいで状態を維持できるようになります——ログイン、カート、設定にとって不可欠です。
(, , [
=> () + , // day
=> , // ❗ not readable by (XSS protection)
=> , // ❗ only sent over HTTPS
=> , // ❗ CSRF protection
]);
= [] ?? ;
クッキーはブラウザ内に存在し、すべてのリクエストとともに送信されます。セキュリティフラグが重要です。httponly（JSのアクセスをブロック——XSSによる盗難を防ぐ）、secure（HTTPSのみ）、samesite（CSRF対策）です。
<?php
session_start(); // start/resume the session (sets a session-ID cookie) — before output
// store data on the SERVER (only the session ID is in the browser cookie)
$_SESSION["user_id"] = 42;
$_SESSION["username"] = "ann";
// read it on later requests (after session_start)
$userId = $_SESSION["user_id"] ?? null;
// clear/destroy
unset($_SESSION["user_id"]);
session_destroy();
セッションはデータをサーバー側に保存します。ブラウザはユーザーをそのサーバー上のデータに結びつけるセッションIDのクッキーだけを保持します。これによって機微なデータ（user_id など）をクライアントから切り離せます。session_start() はあらゆる出力より前に実行する必要があります。
Cookie → data stored in the BROWSER, sent each request, size-limited, user-visible
→ for non-sensitive prefs (theme), or the session ID itself
Session → data stored on the SERVER (DB/Redis/files), only the ID in a cookie
→ for sensitive/larger data (user identity, cart) — keep secrets server-side
✓ Use httponly + secure + samesite cookies (XSS & CSRF protection)
✓ Regenerate the session ID on login: session_regenerate_id(true) (prevents fixation)
✓ Don't store secrets in cookies; keep sensitive data in the SESSION (server-side)
✓ Use HTTPS so session cookies aren't intercepted
セッションとクッキーはWeb開発にとって基本的なものです——HTTPはステートレスであるため、これらはアプリケーションがリクエストをまたいで状態を維持する方法（ユーザーをログインさせ続ける、カートを記憶する、設定を保存する）であり、ほぼあらゆるインタラクティブなPHPアプリケーションにとって不可欠です。
その区別を理解することが重要です。クッキーはデータをブラウザに保存し（すべてのリクエストとともに送信され、機微でない設定やセッションIDの保持に適している）、セッションはデータをサーバーに保存します（ブラウザにはセッションIDのクッキーだけがある）——ユーザーの識別情報のような機微なデータを安全にサーバー側に留めます。
決定的に重要なのは、これがセキュリティ上敏感な領域であることです。保護用のクッキーフラグ（JavaScriptのアクセスをブロックしてXSSによる盗難を防ぐ**httponly、HTTPSのみのsecure、CSRF対策のsamesite**）を使うこと、ログイン時にセッションIDを再生成すること（セッション固定化攻撃を防ぐ）、シークレットをクッキーに入れず（サーバー側のセッションに）保つこと、そしてHTTPSを使うことを知っておくことは、セキュアな認証と状態管理に不可欠です。
セッション／クッキーの不適切な扱いは深刻な脆弱性（セッションハイジャック、固定化、XSS、CSRF）につながり、ユーザー状態の維持はほぼ普遍的な要件であるため、セッションとクッキーがどのように機能し、それらを安全に使う方法を理解することは、ユーザーアカウントや永続的な状態を持つアプリケーションを構築するあらゆるPHP開発者にとって重要でセキュリティに関わる知識です。（Laravel のようなフレームワークはこの多くをデフォルトで安全に処理しますが、根底にある仕組みとセキュリティ上の懸念を理解することは依然として重要です。）