Как защитить php сессию?
Последнее, что надо защищать, это сессия.
Донесите уже это до всех криворучек, клепающих дырявые плагины для вордпресс, модули-решето для джумла, компоненты-костыли для битрикса.
Если кратко - никак. Юзер должен что-то показать в качестве ключа доступа. Например если твои сейчии недолжеы истекать ты можешь юзать JWT ключи .
Если твой сайт работает через https ты можешь делать авторизацию через публичный ключ https клиента. Насколько я знаю в ssl есть публичные и приватные ключи. Ты бы мог заюзать api например nginx и как то проверять если запрос https то какому public key id он принадлежит :)