Вы сказали
Я думал, что смогу сгенерировать длинный случайный ключ (токен), который
генерируется при входе в систему любого из приложений и передается в каждой сети
запросить любое приложение для идентификации вошедшего в систему пользователя, но это не
кажется безопасным.
Но, по сути, так работают сессии.
Лучше всего сгенерировать уникальный идентификатор входа (как вы сказали), сохранить его в базе данных или кэше памяти, доступном обоим приложениям, и найти способ сохранить его так, чтобы оба веб-приложения могли его получить.
Если оба приложения находятся в одном корневом домене, вы можете использовать файл cookie с путем, установленным на /, чтобы оба приложения могли получить к нему доступ.
Если оба приложения будут находиться в другом корневом домене, тогда будет немного сложнее.
Что касается безопасности относительно передаваемого токена идентификатора, вы можете регенерировать идентификатор при каждом запросе, что защищает от взлома cookie.