Also das Session-System von PHP basiert überhaupt nicht auf Cookies. Man kann zwar dieses System mit Cookies ersetzen, dies bringt jedoch einige Nachteile gegenüber der ersteren Variante.
Vor allem aber entscheidende Sicherheitsvorteile. SID per URL hat viele Sicherheitslücken.