Этот подход верен. Вы должны убедиться, что все действия, доступные через операцию GET, являются «безопасными» (что в любом случае рекомендуется), поскольку ваша защита XSRF применяется только к POST.
Для дополнительной страховки вы можете использовать его и в GET (добавив параметр URL во все ваши ссылки и проверяя его в каждом запросе GET), но это громоздко.
Если вы параноик, вы можете выбрать другое случайное число для альтернативного идентификатора. Это защитит вас, даже если браузер неправильно сделает ваш файл cookie сеанса доступным для некоторого враждебного Javascript на другом сайте. Когда сеанс создан, выберите другое большое случайное число и сохраните его в своем сеансе.