Ciao emanuelevt1,
mi pare che stai seguendo l'esempio che ti ho fatto.

Dunque,
riprendendo in mano la situazione:

Crea le pagine proprio come ti ho mostrato, e crea anche show.php.
Mettile tutte nella stessa cartella.

Nella pagina show.php, come in tutte quelle che vuoi proteggere, fai così:
Codice PHP:

<?php
session_start();

if(!isset($_session['utente']) || empty($_session['utente']))
   header('Location: ./login.php?msg=Sessione scaduta');

?>
<html>
..............
</html>
In questo modo testi l'esistenza del token 'utente' messo in request solo se il login è stato fatto e ha avuto successo.

La sua mancanza significa che l'utente sta accedendo alla pagina senza aver eseguito il login, oppure che la sua sessione utente è scaduta e, quindi, lo rimandi al login.

Spero che sia tutto chiaro.

Ciao