Куда сохраняется сессия, устанавливается директивой в пхп.ини "session.save_path" по умолчанию она всегда будет сохранять в /tmp, я бы лучше рекомендовал устанавливать в пользовательский каталог сайта, для скрытия названия сессии и при кривезны настроек, содержимого, бывает такое, что достаточно в куках вставить корректно название сессии и мы уже можем быть тем, кому она принадлежала на соответствующем сайте.