La pagina area_riservata.php alla fine ti resetta l'array $_SESSION, quindi quando vai alla pagina ordini.php ti risulta che $_SESSION['user'] è vuota e quindi ti dice che l'utente non è loggato.
Rimuovi i
$_SESSION = array() e
session_destroy()
alla fine dei file, nello script che avevi trovato ce li avevano messi perché... boh...