juk, сессию можно и без куков делать. Можно, например, передавать скрытое поле (input type="hidden") с идентификатором сессии. Или явно в строке адреса.