Как понять, когда использовать куки, а когда сессии?

А для авторизации сессии.

Только ради кнопки "Запомнить меня"?

sorry_i_noob, нет, можно хранить время последнего визита, можно хранить, прочитал ли юзер объявление на сайте (чтобы не показывать снова)
Куки можно много для чего использовать

Никита Колесников, да бесполезно "показывать капли из моря и пытаться объяснить как оно выглядит".
Человек не в теме... пусть почитает базу вначале и мало-мало освоит термины...

В более-менее серьезных приложениях куки шифруются. И изменить какую-либо информацию в них проблематично. Иначе на сервере они просто не расшифруются и удалятся.

Да и где нужна доверенная информация? Можете привести примеры? Какую такую секретную информацию нужно сохранять не в БД, а в сессии?

sorry_i_noob, куки - не могут шифроваться!
Шифроваться могут только данные.
Данные, которые шифруются - никогда не помещаются в куки!
Куки - содержат только ЦИФРОВУЮ ПОДПИСЬ (или ТОКЕН) для подписи запросов аутентифицированным клиентом.

Ваш вопрос - не имеет ответа до тех пор, пока Вы не почитаете достаточно материала о способах организации доступа. (т.к. Вы - ничего не поймёте)

xmoonlight, можете скинуть ссылки на хорошие статьи?

xmoonlight, куки шифруются. вон, даже вопрос такой задавали тут: Нужно ли шифровать куки? .

sorry_i_noob, про шифруются, вот из ответа:

1. Зашифрован ID + useragent. (Плохой вариант если злоумышлиникам станет известен механизм шиврования)

Вот о чём речь!
Только ХЕШИРОВАНИЕ параметров на основе данных клиента (сразу после авторизации)!
Оно же называется ТОКЕН авторизации.

sorry_i_noob,

можете скинуть ссылки на хорошие статьи?

Открываем википедию и в поиске (поочерёдно ищем статьи и читаем):
Шифрование, хеширование, цифровая подпись, аутентификация и т.д.

sorry_i_noob,

Да и где нужна доверенная информация? Можете привести примеры?

Ну, например, залогинен ли пользователь,

Какую такую секретную информацию нужно сохранять не в БД, а в сессии?

Вообще вопрос не в тему, бд - долговременное хранилище, сессия - временное сессионное хранилище, по умолчанию убивающееся после выхода с сайта. Кроме того - никто не запрещает вам построить механизм сессий на записях в бд.

В более-менее серьезных приложениях куки шифруются. И изменить какую-либо информацию в них проблематично. Иначе на сервере они просто не расшифруются и удалятся.

это никак не относится к тому что на клиенте нельзя/можно хранить данные, обычно это просто еще одна степень защиты апи сайта от краулеров/парсеров. Какой смысл хранить на клиенте какие-либо данные с риском возможной расшифровки, если их все равно нужно передать на сервер? Легче хранить на сервере в сессии(где они не доступны вообще для клиента) и не дергать куки вообще.

Нужно хранить корзину в привязке к аккаунту - сессия и база.

Почему не куки и база? Не такая это и секретная информация.

Нужна разовая аутентификация(не авторизация!) с текущей машины? Можно использовать куки.

Чем аутентификация отличается от авторизации?
Все равно не понятно ((( .

sorry_i_noob,

Нужно хранить корзину в привязке к аккаунту - сессия и база.

Почему не куки и база? Не такая это и секретная информация.

По тому что на другой машине ваши куки недоступны. Я же написал - в привязке к аккаунту.

Чем аутентификация отличается от авторизации?

аутентификация - задача определения пользователя, не обязательно привязывая его к учетным данным, грубо говоря определить что это конкретный какой-то пользователь, не сто процентов, но с высокой вероятностью. Например ты заходишь посмотреть порнушку на порнхаб, тебе всплывает предупреждение о возрасте, при его подтверждении в куки пишется аутентификация + подтверждения согласия, и при втором заходе с этого браузера, проверив куку, спрашивать тебя уже не будут. Что может спалить батя, зайдя на порнхаб после тебя с твоего компа.

Авторизация же гарантирует твою идентичность с данными записанными на сервере, с любой машины ты получишь настройки, рейтинги, личные данные(то есть авторизация это аутентификация+), и они в куках никак не видны.