session_destroy() mi sembra debba essere richiamata prima di qualunque output o header.