@Tom:
Bei Funpic selber kann ich keinen eigenen Cronjob anlegen. Deshalb hätte ich mich bei einem kostenlosen Anbieter angemeldet und einen Verweis auf eine PHP-Datei gemacht, die auf dem Funpic-Account liegt. Diese Datei hätte dann überprüft, wann die Session-Dateien erstellt worden und werden dann evtl. gelöscht.
Im großen und ganzen kann ich die Variablen der php.ini nicht umstellen, außer aber z.B. den session_save_path. Funktioniert einwandfrei. Den GC kann ich nicht beeinflussen. Wie auch schon geschrieben, kann ich kein CGI ausführen.
Was verstehst du unter einer TOCTOU-Situation? Und inwieweit sind die Session-Dateien gelockt?
MfG
Dengue