Es geht hier nicht um das Cookie!
Es geht darum, zu prüfen ob bestimmte Daten im Session-Pool (Datei, Datenbank) abgelaufen sind.
Eine Session wegzuwerfen, wenn das Token abgelaufen ist, ist von der Logik zu viel.