Не бейте сильно. я только учусь )
Используется basic авторизация. app server - glassfish.
Первый раз заходишь по адресу браузер спрашивает имя, пароль - все ок.
Второй раз браузер уже не спрашивает пароль и заходит под тем же именем автоматом.
Задача - зайти под другим именем. Думал достаточно закрыть сессию а там наверное браузер спросит новое имя и пароль,
но это оказалось не так. Сессия действительно убивается, но создается заново с тем же именем пользователя и вопрос о новом имени не задается.
это функция выхода живущая в сессионом бине :
public String logout()
{
FacesContext facesContext = FacesContext.getCurrentInstance();
HttpSession httpSession = (HttpSession)facesContext.getExternalContext().getSession(false);
httpSession.invalidate();
return "index?faces-redirect=true";
}

В случае, если в мозиле стереть недавнюю историю об активных сеансах окно с паролем появляется.

календаревед,
Спасибо за наводку
Вариант интересный, но подумав, отказался от него в пользу с аунтификацией через форму.