Klingt logisch: Der Mediaplayer ist ein anderer Client, als der bisher vom User benutzte Browser, und er kennt selbstverständlich dessen Cookies nicht. Also schickt er kein Sessioncookie mit, und deine Sessionprüfung läuft zwangsläufig ins Leere.
Aber mit session_open müßte die Session-ID doch übernommen werden, oder? *grübel* -> Nein, quark, weil der Cookie die ID ja nicht mitschickt.
Es geht aber auch dann nicht, wenn ich die Session-ID in der URL übergebe und von dort Auslese und über session_id an die Session weiterreiche (vor dem session_open natürlich).
Mein Erklärungsansatz geht dahin, dass der Mediaplayer das Video nicht puffern bzw. nicht erreichen kann, weil session_open die Header-Daten unleserlich macht.