En efecto... un alert (lo que haces) no te impide visualizar la página. La estructura correcta sería...
Código PHP:
if (isset($_SESSION["valid_user"])) {
Aquí toda la página
} else {
echo "Permiso solo a usuarios logueados";
// ó como dice jchernandez, puedes redireccionar.
}
