Cześć!
Tworzę sobie stronę z logowaniem.
I lepiej to logowanie zrobić na sesjach czy na ciasteczkach? I czy w ogóle na tym drugim jest możliwość zrobienia czegoś takiego.
Chociaż na kursie php jest napisane:

więc myślę, że możliwość jest.
Pozdrawiam!

Ciasteczkami zbyt łatwo manipulować. Do logowania sesja nadaje się idealnie.

Z ciasteczkami mozna rozwiazac problem typu zapamietaj logowanie, wiec wykorzystalbym i sesje i cookies, ale dodajac zakodowane np id+losowo generowany hash

tylko sesja+cookie, sama sesja to bezsens chyba, ze chcesz wnerwic ludzi ktorzy co chwile beda musieli sie logowac.

w cookie zamiast loginu i hasla a przynajmniej zamiast hasla trzymac jakis zahashowany kod

Jest jeszcze jeden sposób, którego używam w kilku mniej krytycznych projektach:
Zasada działania jest następująca:
W cookie trzymasz pary "klucz" : "wartość", np:

login: admin
expire: timestamp
permissions: [insert, update, delete],

I dokładasz ostatnią parę:
checksum: checksum-hash

Checksum czyli suma kontrolna zwiera sumę kontrolną z całej zawartości cookie wcześniej posolonej.
Zmieniając sól powiedzmy raz dziennie, praktycznie nie ma szans żeby to złamać. Każda próba ręcznej zmiany zawartości cookie spowoduje błąd. Takie rozwiązanie będzie miało bardzo dużą wydajność, bo nie musisz odczytywać sesji przy każdym wywołaniu z plików tymczasowych czy bazy danych. Użytkownik dostarcza informacje o sobie samym wewnątrz nagłówka cookie przy każdym połączeniu

A może nakieruje mnie ktoś jak to zrobić? Mam na myśli sesje + ciasteczka, żeby nie trzeba było się logować co chwile.

Ciasteczka służą po to by przechowywać ID sesji, z odpowiednim czasem są ciasteczkami sesyjnymi (usuwane po wyłaczeniu przeglądarki/karty przeglądarki). Wszelkie sesje to po prostu kojarzenie użytkownika z zapisanymi danymi na podstawie losowego klucza, czyli ID sesji - proste.

W takim razie jak przykładowo zrobić opcję "Zawsze zalogowany" lub żeby wylogowywało po ustalonym czasie?

Cookie z losowym toknem przechowywanym również w bazie (nic na podstawie loginu/hasla, zwykly mt_rand()), ustawione na odpowiedni czas. Jeśli użytkownik wchodzi z tokenem, szukasz w bazie takowego i jeśli istnieje, automatycznie go logujesz.