xmoonlight

Защититься так, чтобы быть уверенным, что не смогут прочитать - точно нет!
Даже при том, что телефон шифрует "трафик" - "утечка" данных во внутреннюю сеть, всё же, возможна.

Необходимо использовать менее заинтересованный канал в ваших данных: мобильный интернет или иной Wi-Fi, не подключенный никак к рабочей сети.

json - это таблица в представлении поля, а не обычные текстовые данные.
Никакой денормализации быть не может тут.
Используйте json смело: не потеряете ни в скорости, ни в удобстве.
Я часто юзаю json вместо старой привычной связки "many-to-many".

Древовидное визуальное меню с разными пиктограмками или карусель изображений, и т.д. - это обыденная рутина. И лучше иметь свой готовый функционал на "чистом" JS.
Но есть он у менее 1%, т.к. уже давно всё было реализовано на jQuery и переписывать никто не будет. Вместо этого, проще взять нужный ГОТОВЫЙ! визуальный блок или из jQuery-библиотек, или, что в разы лучше, с того же github на нативе (если удалось найти).

Всё остальное (уникальный функционал и внутренняя логика) - делается нативно.

PS: надеюсь, понятно пояснил критерий выбора...

Хотя бы раз! Загляните сюда.

php_value session.cookie_httponly 1
php_value session.cookie_secure 1

1. Очистите все куки в браузере для тестового домена и, после запроса страницы, проверьте снова.
2. Всегда выводите текущие значения php-флагов для php-скрипта для того, чтобы быть уверенным, что они установлены в верные значения.

Или так, чтобы "налету" заменять любые куки из кода php-скрипта на безопасные:
1. Подключить в Apache mod_headers
2. Добавить в .htaccess:
Header always edit Set-Cookie (.*) "$1; HTTPOnly"
или сразу для двух директив:

Header always edit Set-Cookie (.*) "$1; HTTPOnly; Secure"