Les deux suivant ton besoin.
Exemple, lors d'une connexion avec les requête SQL, je vérifie si les identifiants sont bon, si c'est le cas, je met généralement sont pseudo(mail ou autre) dans une session, afin de l'afficher la ou j'ai besoin ou de la réutilisé pour d'autres requêtes.