BASIC Authentication это только способ , аутентификации. К самому процессу аутентификации в сервлетах он отношения не имеет. Мы же о сервлетах говорим? HttpSession.invalidate() чем не подходит?

buyboy,

Тогда это немного за пределами Java. Если браузер кеширует логин\пароль, или их хэш, то это уже надо смотреть как в браузере его чистить. Посмотрите заголовки запросов. Сгенерировался ли новый jsessionid? Послал ли браузер Authorization заголовок не спросив юзера?

http://en.wikipedia.org/wiki/Basic_access_authentication While HTTP does not provide a method for web server to instruct the browser to "log out" the user (forget cached credentials), there is a number of workarounds using specific features in various browsers. One of them is redirecting the user to an URL on the same domain containing credentials that are intentionally incorrect:

https://forget:forget@www.example.com/path]https://forget:forget@www.example.com/path

Unfortunately, this behavior is inconsistent between various browsers and browser versions[2]. Only Microsoft Internet Explorer offers a dedicated JavaScript method to clear cached credentials:[3]

<script>document.execCommand('ClearAuthenticationCache', 'false');</script>

buyboyпри входе на главную страницу проекта (не защищенную) JSESSIONID сгенерировался = хотя я явно нигде не указывал его генерацию...

становится непустым только после залогинивания
Посмотреть стоит со стороны браузера - что именно он отправляет. А вы опять на сервере всё смотрите.