Андрей

некий ключ из цифр

это просто timestamp

скорее всего там дело в куках

switch уже не в моде?

напишу свой вариант, ради спортивного интереса:

function randString($length = 6) {
	$out = "";
	$chars = range("a", "z");
	while (strlen($out) < $length) {
		$rand = rand(0, count($chars) - 1);
		$out .= $chars[$rand];
		unset($chars[$rand]);
	}
	return $out;
}

скрипты имеют доступ и к закрытой директории, так что айпишник разрешать не надо. а выводить через заголовок, как уже написали

header("Content-Type: image/png"); // mime-type пикчи в заголовке
// можно добавить другие заголовки, если необходимо 
readfile($image); // $image - строка с путем к файлу

Кроме cron'a можно сделать функцию проверки корзин всех пользователей, и пихнуть её в общий код.