2012-01-07T13:10:08 marky

das ist ja das schön an htaccess über die DB. Der erspart man sich das komplette sessionmanagement.

ohne sessions hast du aber wiederum das problem, dass du dich gegen CSRF absichern musst. mit session geht im einfachsten fall die session_id selber zusätzlich zum cookie im formular.
wenn du basic auth und keine session hast, ist ein user per CSRF angreifbar, solange der browser offen ist (oder die basic auth daten nicht manuell per browserfunktion gelöscht wurden).