[maxkar]

Ну а смысл во всем этом какой? Что-то все равно отправляется на клиента. Может быть, оно в куках будет, а не в тексте страницы. Но это тот же самый прямой текст, который прекрасно видно. И без этой части (которая на клиенте) все равно не обойтись. А потом "злоумышленник" сможет и запрос от флешки имитировать, получив "session_id" (если он отличается от того, что вы в куках передаете).

В общем, смысла совершенно 0. Оно в реализации гораздо сложнее, чем вытаскивание session_id из обмена браузера с сервером.