Я бы предложил передать их в виде параметров, подобных этому -
<a onclick="some_function('<?php echo $_SESSION['var'] ?>')">Click</a>
и функция javascript some_function()
обрабатывает ее, а не присваивает их в строку. Таким образом, вы можете получить файл javascript, свободный от кода на стороне сервера. Это самый чистый способ.
Мне тоже кажется, что, поскольку переменные сеанса находятся на стороне сервера, они не должны обрабатываться напрямую на языке клиента через встроенный код.