クッキーが食えない状況（ケータイとか）なら

(1) クライアントがログイン

(2) サーバ側でランダムな文字列などを生成。
　　この文字列（キー）はユニークで、そこから何らかの方法でログイン情報（IDなど）が引き出せるようにしておく。
　　DBに対応表を持っておくとか。

(3) サーバ側、出力するHTMLのリンクなどに生成したキーを埋め込む。
　　URLに付けるとか、フォームならhidden属性にするとか。

(4) クライアント側、リンクをクリック。
　　当然、キー文字列も一緒に送信される。

(5) サーバ側、送られてきたキーを元に、ログイン情報を取得。
　　この時点で何かおかしかったらログイン画面(1)に戻す。
　　問題なければ(3)に戻る。

こんな感じかしら？

基本的に、IDやパスワードはログイン時以外でやり取りしないという方向で。
あと、キーから引き出されるログイン情報の中には、最終アクセス時間やIPアドレス、UAなんかも保持しておくと
不正アクセスを少しは防止できるかもしれない。