Hallo,

Ich habe gehört, dass Sessions gehijacked werden können. Kann dabei auch der gespeicherte Hash des Nutzernamens entwendet werden.

nein, denn Session Hijacking heißt ja nur, dass jemand die Session ID abgreift und dann die Rolle des angemeldeten Nutzers übernehmen kann. Trotzdem kommt er nicht an die in der Session gespeicherten Daten, wenn der Server sie nicht "freiwillig" rausrückt.

Was glaubt ihr ist generell die bessere Wahl: Session oder Cookies?

Nicht oder. Erst beides zusammen ergibt ein gutes Team, da die Session ID meist per Cookie übermittelt wird.

Ciao,
 Martin