Modo migliore (più sicuro) per chiamare PHP da Js

[Vindav]

cioè invece di prendere i dati da un GET o POST lo fa da SESSION (perchè? non so, penso per motivi di sicurezza).

Per motivi di sicurezza lo dubito, non è che semplicemente i dati si trovano in sessione invece che nella request(vengono inseriti precedentemente da php)? Devi spiegare meglio però, altrimenti si possono fare solo ipotesi. A priori posso dirti che quei dati (elenco di chiavi) li puoi inviare tranquillamente in POST, mentre puoi lasciare i restanti dati in sessione(se già presenti). Se anche ci fosse qualche modo per inserire questi dati in sessione da js(per quanto ne so non è possibile porprio perche si parla di ambienti diversi), questa operazione sarebbe cmq visibile sul client, quindi non cambierebbe nulla rispetto ad una POST per livello di sicurezza.