Hola,
Efectivamente, parece que el ID de una sesión puede guardarse en una Cookie o pasarse a través de la URL. Lo que ignoro ahora mismo es si esto es transparente al programador, es decir, si en caso de no estar disponibles las Cookies, automáticamente se usa la URL para pasar el ID de una sesión.
Pero, también hay que distinguir entre el ID de una sesión y las variables y valores que una sesión puede guardar. No estoy muy puesto, pero, pareciera que el ID no es siempre necesario. Uno puede acceder desde la variable global "$_SESSION" a variables y valores de una sesión, sin necesidad de utilizar el ID de la misma.
Respecto de pasar variables y valores mediante URLs... efectivamente, son datos que pueden verse, pero, por lo general algo así se usa para pasar datos no comprometedores, como pueda ser el número de registros que quieran listarse en una página determinada, o el tipo de orden de ciertos registros... nunca contraseñas, por ejemplo, o datos sensibles en todo caso.
Pero, lo mismo que usamos la URL para pasar variables y valores (método HTTP GET) podemos usar un formulario que traspase dichas variables y valores a través de HTTP POST. De este modo nos llegarán al Script de la misma forma: en lugar de la variable global "$_GET", nos fijaremos ahora en "$_POST", y, en todo caso, los datos ya no viajarán en la URL.
Es decir, siguiendo con el ejemplo anterior:
Código PHP:
<form action="script.php" method="POST">
<input type="text" name="nombre" />
<input type="text" name="apellido" />
<input type="submit" />
</form>
Ahora a "script.php" nos llegarían las variables "nombre" y "apellido" mediante HTTP POST, en lugar de HTTP GET. Pero... reconozco que me pierdo un poco con esto de las sesiones en PHP, por lo que te aconsejo que eches un vistazo al manual de PHP... (
disponible en línea) a las funciones relacionadas con el trabajo con sesiones.