mmm Parece que el problema se origina por el control del caché que ajusta el uso de sesiones por defecto .. eso puede interferir con las própias cabeceras HTTP que se usan para sistemas de descargas como el propuesto.
Intenta desactivar el control del caché o cambiarlo por otros parámetros:
session_cahe_limiter()
http://www.php.net/manual/es/functio...he-limiter.php
Prueba con:
Código PHP:
<?
header (.........); // tus cabeceras ...
session_cache_limiter('public');
session_start();
// resto de tu script .. validación y demás ..
?>
Un saludo,