Kachalov- на каждую сессию где то сохраняется SID, если логаут отсутствует или не всегда происходит, то теоретически при некоторой интенсивности создания новых сессий можно получить переполнение хипа JVM или раздела на диске где сохраняются сессиихороший вопрос
проверил - такого не наблюдалось. Но обнаружил ещё одно свойство ws (точнее новое применение) - когда переходишь по страницам - браузер закрывает ws коннект. на новой странице надо его открывать. это не сложно.
но это не сказывается на http сессии она остаётся, http сессия закроется либо через окончание времени сессии сервера, либо пока юзер не закроет браузер - в случае бесконечной сессии (или почистит историю). т.е. открытие другого сайта в этой вкладке не приведёт к отключению http сессии.
а это означает что любой в это время может подойти и работать под данным юзером., просто введя адрес портала.
как вариант - при закрытии ws сессии определяется http сессия и для этой сессии задаётся
httpSession.setMaxInactiveInterval((int) ((System.currentTimeMillis() - httpSession.getLastAccessedTime()) / 1000L) + 3);
где 3 это 3сек на продление сессии. этого хватает чтоб при открытии новой страницы портала установить setMaxInactiveInterval(0).
а если юзер перешёл на другой сайт , то http сессия будет закрыта.

проверяю работу клиента ws на arduino - nano, который снимает данные лазерного дальномера и отображает на странице браузера в реальном времени. сама ардуинка ещё и управляет преобразователем частоты через модбас. вот для юзера который просматривает эту кривую и требуется бесконечная сессия. надо сказать что очень просто управлять силовым железом. трафик минимальный. сервер вообще курит бамбук