sobre la sesion y cookie

la sesion de php se mantiene con una cookie bajo un valor (modificable, el default, creo que es phssid) cuando se inicia sesión se guarda un sha2 al azar allí y se crea una entrada en la ram del servidor asociando esto... el peligro reside en que si un atacante roba este numero, habrá secuestrado la sesion... sin embargo esto es un metodo que al sol de hoy se ha estudiado y defendido bien... es cosa que busques tecnicas (brwoser fingerprint, ip, jscript local storage, etc)

sobre el tiempo de vida de las cookies, puedes asegurarlo por 2 caminos, el del cliente (le dices a su navegador que la cookie solo vive hasta x hora o hasta cerrar el navegador, pero este metodo es saltable) o el del servidor, donde uno de los valores que almacenas es el ultimo acceso, si entre el ultimo acceso y ahorita ha pasado mucho tiempo, al intentar entrar simplemente la sesion se destruye

estos en general son ejemplos basicos de php, te recomiendo leerte un tutorial y en los primeros capitulos ya verás sobre sesiones

sobre tu segunda pregunta...
para lo que hablas existen las bases de datos, simplemente anotas allí todos los nuevos accesos y listo... sobre hacer un archivo de texto (a lo bruto, porque es incluso más complicado) y almacenas allí todo, puedes crear una exclusion en el htaccess para que cualquier archivo que quieras bi oueda ser accedido desde afuera... esto es más complejo e innecesario... pero si te lees un tutorial medianamente avanzado, lo conseguirás


mi recomendacion... has un tutorial... hay uno bastante simple aunque viejito que debería aportarte todo lo que buscas

saludos!