ありがとうございます。

色々と調べた結果、session_set_cookie_paramsには、０を設定し
ブラウザを閉じるまで有効にしとくのが良いのだろうと思いました。

ただ、クライアント側のセッションでなくサーバー側のセッションは、
正しくタイムアウトされるべきだと思います。
そこでEC CUBEでは、通常のセッションの他にDBで管理しているセッションがありました。
PHP.iniの設定を変更し、短い時間でタイムアウトを起こそうとしても
DBで管理しているセッションが存在す限りセッション切れにならないようです。
その有効期限は、mtb_constants.phpの「MAX_LIFETIME」で管理されていました。

どうもセッションが開始されたときにDBのセッションを取得しているようです。
取得したセッションがセッション変数に設定されているのか不明です。
session_set_save_handlerの仕様をいまいち理解できてません。

また、通常のセッションが切れてDBのセッションが切れていない場合や
通常のセッションは切れず、DBのセッションが切れた場合のセッションIDは
どうなっているのでしょうか？

以上、よろしくお願い致します。