я знаю, я сейчас это и переделаю, просто привык писать на чистом пхп

Два - одно из основных требований к рест апи - является требование stateless

Ровно то что ты собираешься сейчас нарушить используя сессии

А теперь скажи что ты в общем и целом собираешься реализовать?

у меня первая форма с вводом телефона, в ней вводится телефон и по кнопке продолжить ввод реквеста валидируется и отправляется в БД и создаёт сессию. Открывается вторая форма с вводом кода подтверждения, где перед открытием отправляется запрос на проверку есть ли созданная сессия из первой формы, если нету - то вторая форма просто напросто будет не доступна, так я контролирую доступ к ресурсу. Чтобы не было возможности попасть на второй этап, не пройдя первого

и зачем тебе тут апи?

Кошмар. А зачем так сложно?

также я сделал такое, чтобы при вылете браузера и снова заходя на регистрацию проверялись куки, и если есть куки второго этапа, то открывается сразу 3 форма

и всё это работало в постмане

?

это все понятно. это все должно быть в рамках web

Либо на фронте, если уж так пздц хочется лупиться в апи

у меня фронт вью отдельный прям, да и гуард апишный из-за токенов

Ну так пусть вуе и решает, какие формы показывать, зачем тут сессии городить

так не должно быть

для доступа $_SESSION просто поместите session_start()в начало index.php файла вашего проекта, без него он не работает

вся логика и проверка на бэке

Это с каких таких

вдруг похакают

да