A skąd serwer będzie wiedział, że dany POST pochodzi akurat z tej a nie innej sesji?
(...) gdyż jak napisałem wcześniej uruchomienie formularza i generowanie kolejnych captcha nie zmienia niczego w ciasteczku.
Nie rozumiesz. Id sesji jest jak wskaźnik, który też jest liczbą. Zmiana zawartości pamięci nie wpływa na wartość samego wskaźnika, ponieważ cały czas wskazuje na tą samą pamięć. I tak samo jest z sesją. Jej zawartość i stan może się zmieniać, ale id będzie ten sam, ponieważ jest to cały czas ta sama sesja.
Mam nadzieję, że już wszystko jasne w tej kwestii.
(...) wszak niczego z nich nie pobierasz
Ciasteczka zawierają dane istotne
dla serwera, a nie klienta. Ten drugi je tylko przechowuje.