在Web应用中使用PHP session时，遵循以下最佳实践可以提高安全性和性能：
使用预定义的session名称：为了防止会话劫持攻击，使用预定义的session名称，而不是默认的PHPSESSID。例如，使用session_name('MYAPPSESSID')来设置自定义的session名称。
使用安全的cookie设置：确保只有通过HTTPS传输的cookie才能访问，这可以通过设置session.cookie_secure为true来实现。此外，设置session.cookie_httponly为true可以防止客户端脚本访问cookie，从而降低XSS攻击的风险。
设置合适的session生命周期：根据应用需求设置合适的session生命周期，可以通过session.gc_maxlifetime和session.cookie_lifetime进行调整。同时，也要考虑用户的登录状态，例如使用“记住我”功能。
存储最小数据量：尽量减少存储在session中的数据量，因为这会增加服务器内存的使用。只存储必要的信息，例如用户ID或用户名。
使用随机生成的session ID：为了防止会话固定攻击，确保为每个用户生成一个随机的、不可预测的session ID。可以使用session_regenerate_id()函数来实现。
防止跨站请求伪造（CSRF）：在表单中添加CSRF令牌，并将其与session中的令牌进行比较，以确保提交的表单来自于合法的用户。
对用户输入进行验证和过滤：始终对用户输入进行验证和过滤，以防止跨站脚本（XSS）和SQL注入等攻击。
限制session的使用范围：尽量限制session的使用范围，例如只在需要的页面上启动session。这样可以降低服务器资源的消耗。
使用现代的PHP版本：始终使用最新的PHP版本，以确保安全性和性能。
定期更新和审查代码：定期更新和审查代码，以确保遵循最佳实践，并及时修复潜在的安全漏洞。
遵循以上最佳实践，可以在Web应用中更安全、高效地使用PHP session。