Risolto!!!!
Era la cache che, evidentemente, il file htaccess non bastava a bloccare;
mi è bastato aggiungere queste tre righe all'inizio dello script PHP:
header("Cache-Control: no-store, no-cache, must-revalidate, max-age=0");
header("Cache-Control: post-check=0, pre-check=0", false);
header("Pragma: no-cache");