Senza cookie si potrebbe anche fare usando solo le sessioni... ma senza db dovresti scriverti i dati degli utenti in un file ..... cosa non molto efficiente e secondo me non molto sicura....