meine Erfahrungen zu Session-Dateien:

es muss immer einen Prozess geben, der alte Session-Dateien wegputzt. ob dies bei jedem Request passiert oder per Cron-Job muss man selbst entscheiden. Es kann auch sinnvoll sein, sich die Updatezeiten der Sessions in einer Datenbank zu speichern: so kann man nämlich mit einer kleinen SQL Anfrage entscheiden, welche Sessions "expired" sind und die dazugehörigen Session-Dateien löschen.