Верно ли я понимаю безопасный подход к управлению сессиями?
Мануал не читай @ велосипед изобретай!
Все сессии и так имеют метку с временем последнего доступа. Время создания тоже можно запомнить, но зачем?
Сессии и так можно хранить в базе.
Вы и так можете менять sessionid.
Время жизни сессии и так настраивается.
Впрочем, допустим, вы изобрели что-то новое. Расскажите подробнее что такое, по вашему, сеанс связи, и что значит "все сессии живут только один сеанс".
Есть альтернативный способ, не требующий хранения сессий - генерировать случайный идентификатор добавлять id пользователя, временную метку и подпись сервера (например hash(session+id_пользователя +версия_пользователя+timestamp+secret), на получении запроса - проверять подпись сервера, периодически обновлять сессию со свежим таймстампом при активности пользователя, выдавать ему новую со свежим таймстампом. Версия пользователя нужна чтобы иметь возможность принудительно терминировать сессии пользователя, например при смене пароля.