Non ho guardato il tuo codice, ma non è assolutamente come dici:
ogni utente genera una sessione (e un file di sessione)diversi, addirittura ogni nuova finestra del browser sulla stessa macchina (se i cookie sono temporanei e se la finestra non proviene da un link con target _blank) genera una sessione diversa