ID sessione sul codice sorgente html della pagina

SÌ vi è un rischio introdotto includendo l'identificatore di sessione del codice HTML poiché renderà più semplice sfruttare le vulnerabilità XSS per dirottare le sessioni.

Per prima cosa, l'accesso all'ID di sessione da JavaScript è CATTIVO PRATICO , i cookie dovrebbero avere il flag HTTPONLY per impedirlo.

Nel tuo caso, anche se il flag HTTPONLY è impostato, l'identificatore di sessione nel corpo della pagina rende più facile l'accesso a questo identificatore mentre sfrutta l'XSS e quindi ignora l'HTTPONLY.

Se il codice è privo di bug e non è soggetto a correzioni di sessione o XSS e vi si accede tramite HTTPS con cookie sicuri, probabilmente è OK - ma è un compito molto alto da raggiungere e mantenere. Quando si rompe sarà davvero difficile rilevare / testare / correggere eventuali problemi. La soluzione che proponi è molto fragile.

La migliore soluzione per condividere una sessione tra diversi stack di applicazioni è quella di fornire loro l'accesso tramite lo stesso vhost - in questo modo non c'è confusione con la messaggistica per gestire il problema dei cookie - ci sono prodotti validi e stabili disponibili per fare questo - Molti dei quali sono gratuiti (Varnish, Nginx, Apache Traffic Server).

In alternativa dovrebbe essere possibile riprodurre un'architettura di tipo SSO per condividere la sessione tra diversi vhosts.

Utilizzi HTTPS per le risposte di entrambi gli host? Se è così, non c'è alcun pericolo particolare. In caso contrario, hai appena esteso il potenziale per il dirottamento di sessioni che esisteva già per te host PHP e Node (a causa dei cookie di sessione) su tutte le richieste sia per gli host PHP che per quelli Node.

Finché usi SSL, qui sei relativamente al sicuro. Se non si utilizza SSL e sono in gioco dati sensibili, non lo è.

Probabilmente dovresti provare una richiesta Ajax dal tuo codice php per aggiornare il tuo client sui dati live inviati al tuo server comune. Ciò mantiene tutte le preoccupazioni separate, e non crea inutilmente un requisito che il codice php sia legato a una fonte.