Modo migliore (più sicuro) per chiamare PHP da Js

[MySQL]

in js prendo le variabili da php in questo modo (...)

Non è per la verità che prendi le variabili PHP, bensì è ques'ultimo che le scrive

Per il resto, se non ci saranno ulteriori suggerimenti, mi orienterò verso una pagina PHP intermedia che prenda (da GET) la lista dei dati preparata sul cliente da javascript, modifichi opportunamente la variabile dentro SESSION e poi chiami il "vero" programma PHP che pertanto lascerò intonso.

Non il massimo della vita, intanto provo se funziona come previsto