Sazanovdm, ещё проще проверять через куки ($_COOKIE), а не через сессию. А куки на основном домене ставить, чтобы были видны отовсюду, в том числе и с поддомена. Сессия с поддомена видна не будет
технологии типа gRPC и JSON-RPC известны давно. Если они до сих пор широко не применяются (а стандартом де факто выступает обычное REST API), то значит либо они не лучше REST API, либо существуют объективные причины, почему их не выгодно использовать