Wenn du schon früher den HTTP-Header ausgegeben hast, kommt im Browser dann sowas an.

Du musst also irgendwo ein print ...->header haben, welches vor dem print $session->header kommt.
Schau bitte mal genau in deinen Code.

Es ist sinnvoll, die Loginüberprüfung möglichst früh im Programnm zu machen.