Можно ли создать систему входа в систему, которая не использует сеанс / cookie на стороне клиента?

Конечно, вы можете обойтись без файлов cookie. Вам просто нужно получать авторизацию по каждому запросу.

Вот пример во флаконе с использованием только базовой HTTP-аутентификации. Если вы не используете 100% времени HTTPS, вам следует использовать Digest Auth, который является безопасный.

С такими ограничениями, как отсутствие нулевых данных на стороне клиента, вы можете передать токен сеанса в параметрах GET каждой ссылки, отображаемой на странице html.

Или вы можете создать только POST-представления со скрытым вводом токена (что действительно может быть более безопасным).

Другой подход, который напоминает мне старые добрые времена в PHP с использованием trans-sid, заключался бы в передаче session_id в URL-адресе и сохранении сеанса на бэкэнде, чтобы параметры URL-адреса не становились слишком большими (в случае большого сеанса магазины).

Вы можете реализовать это, используя комбинацию сигналов @app.url_defaults и @app.url_value_preprocessor, также известных как препроцессоры URL Flask .

@app.url_defaults
def add_session_id(endpoint, values):
    if 'session_id' in values:
        # Allows to manually override the session_id, might not be wanted.
        return
    if g.session_id:
        values['session_id'] = g.session_id

@app.url_value_preprocessor
def pull_session_id(endpoint, values):
    g.session_id = values.pop('session_id', None)

Теперь все, что вам нужно сделать, это сохранить сеанс в удобном месте (например, используя БД или Redis и установите session_id с помощью g.session_id = session_id_here.

В каждом последующем запросе g.session_id должен быть тем же идентификатором сеанса, потому что url_for должен добавлять ?session_id=yoursessionid к URL-адресу. Ваша аутентификация должна проверить наличие g.session_id и действовать соответствующим образом.

Обратите внимание, что если ваш сеанс остается небольшим, вы, вероятно, можете сохранить весь сеанс в параметре url вместо идентификатора.

Неа. Это буквально невозможно по чистому HTTP. HTTP - это протокол без сохранения состояния, что означает, что для сохранения состояния клиент должен иметь возможность идентифицировать себя при каждом запросе.

Что вы можете сделать, так это базовую аутентификацию HTTP через HTTPS, а затем получить доступ к этой аутентификации на стороне сервера.