如果客户端禁止 cookie 能实现 session 还能用吗？

可以，但需要使用其他方式来实现 session，例如在 URL 中传递 session ID 或者使用 HTML5 中的 Web Storage。但是这些方式都有一定的安全风险，因此建议还是使用 cookie 来实现 session。