Куки хранятся в браузере если не указать ssl?
Куки храняться в браузере, что-бы вы не указывали.
Сессии на сервере ну почему у меня PHPSESSID в браузере?
Сессии храняться на стороне сервера. PHPSESSID - Эту кука, в которой записан идентификатор сессии
SESSion
IDentifier (кстати, ее можно
переименовать как угодно).
Время жизни пока не закрыт браузер
Если включена опция "при запуске восстанавливать вкладки", то кука не удалится. И плагины некоторые это умеют.
Может ли сес ид передаваться по url?
Может.
Советы в целом норм, кроме совета про ip. Пришел домой, подключился к wi-fi, ip сменился, и пора логиниться заново?
Помогите плиз 2 год бьюсь(
Удивительно, что за два года вы даже не прочитали
что такое сессии и
как хранить пароли.
А sodium - это вообще криптография, а не хеширование.