服务器为某个访问者创建一个内存区域，这个就是所谓的session，这个区域的存在是有时间限制的，比如30分钟，这块区域诞生的时候，服务器会给这个区域分配一个钥匙，只有使用这个钥匙才能访问这个区域，这个钥匙即sessionId，之后，服务器把这个sessionId写到访问者的cookie里面，这样，访问者下次访问的时候，会带上这个sessionId，进而让服务器识别出自己，并根据这个sessionId从session区域中取出自己的一些身份信息。所以，禁用cookie之后，cookie中不再回传给网站sessionId，把sessionId写到cookie的网站就无法识别访问者了。
还有一种方式，网站可以在返回的url里面，把sessionId以参数的方式渲染到url里，这种方式是不受cookie策略限制的，这样用户点击链接的时候，就会把sessionId带给服务器，这样服务器也能识别出访问者来。
原文：http://www.cnblogs.com/happydd/p/3876068.html