SESSION sunucuda tuttulur, COOKIE tarayıcıda. Sunucuda tutulan veriye müdahale edemezler ama tarayıcıda tutulana ederler.
Arkadaş doğru söylüyor. SESSION sunucu içinde çalıştığı için güvenlidir. Fakat COOKIE sorun çıkartabilir. Gerçi onları da çözmenin yolları. httpOnly cookie ve csrf gibi konularla pek bir sıkıntı çıkmaz. Her halükarda PHP güvenlik konularını öğrenmelisin.