クッキーとセッションの両方に長所と短所があります。しかし、ユーザーがログインすると、ユーザー名とパスワードを使用してセッションが作成されるのではないかと考えていましたが、登録すると、一意の「アクセストークン」が与えられます。
したがって、ログインすると、アクセストークンを含むCookieと、ユーザー名とパスワードを含むセッションが作成されます。
次に、データベースをスキャンして、セッションにユーザー名とパスワードがあり、Cookieにアクセストークンがあるユーザーを探します。
これにより、セッションハイジャックが防止されることを期待していました。