Где вы храните сессии пользователей, почему?
На бэкенде - в redis. Потому что жёсткий диск загибается от такого кол-ва, а хранить в tmpfs - потеряются при форсмажоре, а redis дампит на диск, в случае чего.
На фронте - в куках, если куки у юзера отключены - к каждой ссылке добавляется ?PHP_SESSID, это у php "из коробки".
Что делать если у пользователя отключены cookies и нельзя определить идентификатор сессии?
Передавать айди сессии другими методами.