Сессия хранит данные пользователя на сервере; клиент обычно держит session id в cookie.
Разбор
- session_start() начинает сессию.
- Не храните в сессии огромные объекты.
- Нужны session fixation/hardening меры.
- Для API чаще token, не классическая сессия.
Итог
Сессия — серверное состояние, привязанное к идентификатору клиента.