Wird für eine Session ein Cookie benötigt?

Cookies sind die übliche Art, das zu tun, aber nicht zwangsläufig die einzige. Du kannst beispielsweise auch LocalStorage verwenden, musst aber halt selbst dafür sorgen, irgendwie den Session ID wieder an den Server schicken.

Nicht zwingend, man kann die Daten auch als Querystring in der URI mitführen. Oder man könnte auch websockets nutzen.

Entweder das, oder die Session-ID muss bei jedem Aufruf an die Folgeseite(n) mitgegeben werden, so lange die Session besteht (z.B. als Parameter an der aufgerufenen URL).

Also kekse sind immer gut. Besonders mit ouid.